workflow script injection을 막고 OIDC를 경계화한다

오늘의 질문

untrusted context를 shell source에 직접 삽입하지 않고 environment/structured input으로 전달하며 cloud auth는 audience·subject·environment가 제한된 short-lived OIDC를 사용한다. 이를 생략하면 PR title·branch·issue text를 run block에 interpolation하거나 long-lived cloud secret을 모든 job에 노출한다. 상황에서도 데모는 보일 수 있지만 제품·검증·운영 책임을 방어할 수 없습니다.

아직 답을 몰라도 괜찮아요. 아래 작은 예시를 보고 먼저 예상해 보세요.

01 · 혼자 확인해요

연습한 문제를 다시 풀며 혼자 확인하기

지금은 방금 연습한 문제를 다시 보는 시간이에요.아직 “완전히 익혔다”고 기록하지 않아요. 나중에 모양이 다른 문제도 도움 없이 풀면 그때 다시 확인할 수 있어요.

답과 과정 확인: 80% 이상
내 말로 설명: 80% 이상
막힌 곳 고치기: 80% 이상
다른 문제에 써보기: 80% 이상

스스로 확인하며 작성 중인 답0 / 4

01
먼저 생각하기 · 기초
cp46 predict · workflow script injection을 막고 OIDC를 경계화한다: AI 없이 “PR title·branch·issue text를 run block에 interpolation하거나 long-lived cloud secret을 모든 job에 노출한다.”를 실행했을 때 exit·state·artifact·evidence가 어떻게 달라질지 먼저 예측한다.
지금은 답을 먼저 보여 주지 않아요. 내가 적은 답은 연습 메모로만 저장되고, 합격으로 기록되지 않아요.
외운 답에 기대지 않았는지 밝히고, 내 까닭과 “항상 맞다”는 말을 깨는 장면까지 쓰기20자 이상 작성한 뒤 내 답과 맞춰 볼 기준을 확인하세요.
연습과 같은 문제를 다시 풀어 보는 시간이에요. 힌트 없이 먼저 생각해 보세요. 지금 적은 답은 바로 합격으로 기록되지 않아요.
움직임과 비교
02
내 말로 설명하기 · 익힌 것을 써보기
cp46 explain · workflow script injection을 막고 OIDC를 경계화한다: untrusted context를 shell source에 직접 삽입하지 않고 environment/structured input으로 전달하며 cloud auth는 audience·subject·environment가 제한된 short-lived OIDC를 사용한다.이 필요한 이유와 taint/context trace·injection mutant·OIDC subject/audience policy·credential absence receipt가 입증하지 못하는 범위를 함께 설명한다.
지금은 답을 먼저 보여 주지 않아요. 내가 적은 답은 연습 메모로만 저장되고, 합격으로 기록되지 않아요.
외운 답에 기대지 않았는지 밝히고, 내 까닭과 “항상 맞다”는 말을 깨는 장면까지 쓰기20자 이상 작성한 뒤 내 답과 맞춰 볼 기준을 확인하세요.
연습과 같은 문제를 다시 풀어 보는 시간이에요. 힌트 없이 먼저 생각해 보세요. 지금 적은 답은 바로 합격으로 기록되지 않아요.
설명 기준과 비교
03
틀린 곳 고치기 · 익힌 것을 써보기
cp46 debug · workflow script injection을 막고 OIDC를 경계화한다: 독립 mutant로 “PR title·branch·issue text를 run block에 interpolation하거나 long-lived cloud secret을 모든 job에 노출한다.”를 재현하고 최초 위반 지점만 수정한다.
지금은 답을 먼저 보여 주지 않아요. 내가 적은 답은 연습 메모로만 저장되고, 합격으로 기록되지 않아요.
외운 답에 기대지 않았는지 밝히고, 내 까닭과 “항상 맞다”는 말을 깨는 장면까지 쓰기20자 이상 작성한 뒤 내 답과 맞춰 볼 기준을 확인하세요.
연습과 같은 문제를 다시 풀어 보는 시간이에요. 힌트 없이 먼저 생각해 보세요. 지금 적은 답은 바로 합격으로 기록되지 않아요.
답과 설명 함께 비교
04
새 문제에 써보기 · 새 문제
cp46 transfer · workflow script injection을 막고 OIDC를 경계화한다: untrusted contribution이 있는 repository의 cloud artifact publish로 계약을 옮겨 AI 보조의 변경점과 사람이 최종 승인할 근거를 방어한다.
지금은 답을 먼저 보여 주지 않아요. 내가 적은 답은 연습 메모로만 저장되고, 합격으로 기록되지 않아요.
외운 답에 기대지 않았는지 밝히고, 내 까닭과 “항상 맞다”는 말을 깨는 장면까지 쓰기20자 이상 작성한 뒤 내 답과 맞춰 볼 기준을 확인하세요.
연습과 같은 문제를 다시 풀어 보는 시간이에요. 힌트 없이 먼저 생각해 보세요. 지금 적은 답은 바로 합격으로 기록되지 않아요.
설명 기준과 비교

4개 답이 남았습니다.

02 · 나중에 한 번 더

모양이 다른 문제에서도 같은 생각을 써봐요

cp46 workflow script injection을 막고 OIDC를 경계화한다: untrusted context를 shell source에 직접 삽입하지 않고 environment/structured input으로 전달하며 cloud auth는 audience·subject·environment가 제한된 short-lived OIDC를 사용한다.의 미공개 local failure variant에서 AI 없이 acceptance trace·test·runtime receipt·recovery proof를 만들고 human accept/refactor/reject verdict를 제출한다.

검증 과제

AI가 제안한 workflow script injection을 막고 OIDC를 경계화한다 구현에 ambiguous requirement, boundary input, timeout·429·5xx 또는 dtype drift, partial write, config/dependency drift, secret leakage, false-green test 중 하나 이상을 주입해 최초 contract divergence를 찾아 수정한다.