Pangolin — 我們在 $ecur1ty H4ckath0n，需要你的一票

為什麼做 Pangolin

今年五月，一場自動化攻擊在六小時內對 5,561 個 GitHub repo 植入後門。它沒動任何一行應用程式碼 — 目標是建置和部署程式碼的 CI/CD pipeline。

幾天前，另一個攻擊者針對 42 個 @tanstack/* npm 套件推送了 84 個惡意版本，手法是串接 pull_request_target 濫用、GitHub Actions cache 中毒、以及直接從 runner 記憶體竊取 OIDC token。

兩次的教訓一樣：pipeline 已經是攻擊目標了。 而 workflow 檔案被 review 的仔細程度，遠不如它所部署的程式碼。

最讓我在意的是：抓住這些攻擊的知識已經存在了。它只是被鎖在資安研究員的私人筆記、一次性腳本、跟手動 review 流程裡。負責守自己 repo 的開發者，根本接觸不到這些東西。

我不認為你能不能防禦自己的 pipeline，應該取決於你有沒有剛好追蹤到對的研究員。

Pangolin 做什麼

Pangolin 是一個 CI/CD 資安掃描器，由 Termdock 開發。它做三件事：

1. 掃描你的 GitHub Actions workflow，用 regex pattern 加 Semgrep 交叉驗證，標記已知的高風險模式
2. 用 LLM 分析攻擊鏈，判斷這些風險 pattern 在你的特定 workflow 裡是否真的可被利用
3. 產生自動修復 PR，不只告訴你哪裡有問題，直接幫你修

底層接 Sola 的 MCP 拉 GitHub workflow 即時資料，跑三階段分析 pipeline。17 個 Semgrep pattern 全部涵蓋。

這不是猜的。過去幾個月我向 Google、Microsoft、GitLab 和其他大型程式提交了 29 份漏洞報告。還沒揭露的我不能討論，但正是這些工作讓我知道這個缺口是真的 — 也正是 Pangolin 要補上的。

為什麼投票

Pangolin 還在早期。這次黑客松是它第一次公開測試 — 現在正在 Sola Security 主辦的 $ecur1ty H4ckath0n 參賽，這輪由公開投票決定。

你的一票不是人情。是支持一個方向：資安防禦工具應該開源、應該在開發者手中，不該被鎖在私人筆記裡。

如果你認同這個方向，我真心希望得到你的支持：

投票連結 →

第一名不只是獎項。它是一個訊號 — 夠多人想要這個東西存在，值得全力投入。任何獎金都會直接投回研究和開源工作。