“Nem todo envio válido representa um risco de segurança significativo. Alguns relatórios identificam oportunidades de reforço ou lacunas de documentação”, escreveu Jarom Brown, pesquisador sênior de segurança do GitHub, em um post no blog.
Além disso, disse ele, muitos dos relatórios que o GitHub recebe descrevem cenários fora do escopo em que alguém experimenta um resultado “indesejável” após interagir com conteúdo malicioso no GitHub.
“Esses relatórios costumam ser bem escritos e tecnicamente precisos em suas observações, mas eles entendem mal onde está o limite de segurança. Quando um ‘ataque’ exige que a vítima procure e se envolva ativamente com conteúdo controlado pelo invasor (clonar um repositório malicioso, solicitar uma ferramenta de IA para analisar código não confiável, abrir um arquivo criado), o limite de segurança é a decisão do usuário de confiar nesse conteúdo. Esses cenários geralmente não representam um desvio dos controles de segurança do GitHub”, escreveu ele.
A explicação de Brown também serve como um lembrete aos usuários do GitHub sobre o que a empresa espera que eles façam para se protegerem.
