GitHub Actions 권한·공급망 점검 - 워크플로 YAML을 넣으면 권한 미지정, write-all, 고정 안 된 action, 위험한 pull_request_target 조합을 찾습니다. | 리퀘오 본문으로 건너뛰기

리퀘오 / 스킬 / AI

GitHub Actions 권한·공급망 점검

워크플로 YAML을 넣으면 권한 미지정, write-all, 고정 안 된 action, 위험한 pull_request_target 조합을 찾습니다.

제작 리퀘오
좋아요0
  • 금액10~60P11원부터 · 부가세 포함 · 실행 1회 · 입력·사용량에 따라
  • 처리 시간1~3초보통 걸리는 시간
  • 입력 한도100,000자입력 글자 수 합계
  • 결제결과를 받을 때만실패하면 차감 없음
  • 라이선스개인 사용결과물 사용 범위
바로 실행하기 API·MCP 로 쓰기

이 스킬이 하는 일

  1. 넣는 것

    워크플로 YAML · 파일 경로 · 최대 발견 수 
    워크플로 YAML: name: ci
on:
  pull_request:
  push:
    branches: [main]
permissions: write-all
jobs:
  …
파일 경로: .github/workflows/ci.yml

  2. 스킬이 하는 일

    • 워크플로 YAML을 넣으면 권한 미지정, write-all, 고정 안 된 action, 위험한 pull_request_target 조합을 찾습니다.
    • 1~3초 안에 처리

  3. 받는 것

    요약 · 잡별 권한 · 발견 · 규칙별 건수 외 5개

실행하기

10~60P/ 실행
  1. 입력 넣기직접 쓰거나 아래 예제로 채우기
  2. 예상 금액 확인최대 승인액을 보고 실행
  3. 실행보통 1~3초 안에 끝남
  4. 결과 받기정상 결과일 때만 차감

예제 입력 1개

  1. 워크플로 YAML
    name: ci
on:
  pull_request:
  push:
    branches: [main]
permissions: write-all
jobs:
  build:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: actions/setup-node@v3
      - run: echo "${{ secrets.NPM_TOKEN }}"
      - run: echo "${{ github.event.pull_request.title }}"
  deploy:
    runs-on: ubuntu-latest
    permissions:
      contents: read
      packages: write
    steps:
      - uses: actions/checkout@8f4b7f84864484a7bf31766abe9204da3cbe65b3
    파일 경로
    .github/workflows/ci.yml
    JSON 보기

    입력

    {
  "yaml": "name: ci\non:\n  pull_request:\n  push:\n    branches: [main]\npermissions: write-all\njobs:\n  build:\n    runs-on: ubuntu-latest\n    steps:\n      - uses: actions/checkout@v4\n      - uses: actions/setup-node@v3\n      - run: echo \"${{ secrets.NPM_TOKEN }}\"\n      - run: echo \"${{ github.event.pull_request.title }}\"\n  deploy:\n    runs-on: ubuntu-latest\n    permissions:\n      contents: read\n      packages: write\n    steps:\n      - uses: actions/checkout@8f4b7f84864484a7bf31766abe9204da3cbe65b3",
  "path": ".github/workflows/ci.yml"
}
예상 금액
10~60P
최대 승인액
실행 전에 확인
실행 상태
시작 전
다음 행동
로그인한 뒤 실행할 수 있습니다.
로그인하고 실행
예상 시간
1~3초
처리 방식 자세히
처리 단계
처리 횟수
  • 결과가 정상적으로 나왔을 때만 차감됩니다.
  • 실패·시간초과·취소는 차감되지 않습니다.
  • 기본 처리비 + 응답 사용량과 저장 단가로 계산한 도구 사용료. 최대액을 예약하고 차액을 반환합니다. 사용량 미확인·실패 시 청구하지 않습니다.
요금 계산 방식 자세히
  • 금액 = 기본요금(판매자 금액·기본 수수료) + 실제 AI 사용료
  • AI 사용료는 모델별 단가와 실제 사용량으로 계산하며, AI 사용료에 수수료를 다시 붙이지 않습니다.
  • 2026년 11월 6일부터 시간대별 요금이 있는 모델도 시간대와 관계없이 같은 단가를 적용합니다.
  • 출고 전 평가 사례의 실측 범위; 입력 크기에 따라 달라지며 보장 시간 아님
  • TTS에 연결한 정규화의 취소·환불은 TTS 정산 규칙을 적용합니다.

결과는 생성형 AI 로 만듭니다. 중요한 내용은 확인해 주세요.

이용 정보 자세히

처리 한계 · 보관 · 입력이 가는 곳 · 결과물 사용 조건
하는 일
AI · 워크플로 YAML을 넣으면 권한 미지정, write-all, 고정 안 된 action, 위험한 pull_request_target 조합을 찾습니다.
넣는 것
필수 워크플로 YAML · 선택 2개 (긴 글 · 짧은 글 · 숫자)
받는 것
요약, 잡별 권한, 발견, 규칙별 건수, 확인할 점, 근거 수준, 저장소 확인 여부, 확인하지 않은 범위, 결과 파일 (묶음 · 목록 · 선택 · 예/아니오 · 긴 글)
금액
10~60P · 실행 전에 최대 승인액을 확인한 뒤 시작합니다 · 실패·시간 초과·취소는 청구하지 않습니다
처리 한계
입력 최대 100,000자 · 최대 20초 · 보통 1~3초(보장 아님)
파일
파일 첨부 입력은 받지 않습니다. 글은 붙여 넣어 주세요
보관
결과 7일 · 입력 실행이 끝나면 삭제
입력이 가는 곳
리퀘오 내장 처리
제작·버전
리퀘오 · 버전 2 · 2026. 11. 1. 게시
결과물 사용
등록된 제한 없음 조건 전체

자세한 설명

GitHub Actions 워크플로 YAML 원문을 넣으면 워크플로·잡별 permissions를 읽어 권한이 아예 없는 잡, write-all을 준 잡, 쓰기 범위를 정리합니다. 커밋 SHA가 아닌 태그·브랜치로 참조한 action, pull_request_target에서 PR 머리를 checkout하는 치명 조합, run 블록에 사용자 입력을 그대로 넣는 스크립트 주입, echo로 시크릿을 출력하는 줄도 함께 찾습니다. GitHub API·저장소 설정·조직 정책은 조회하지 않으므로 권한이 없을 때 실제 부여 범위는 '미지정'으로만 적고, 결과는 줄 번호·위험도·조치가 담긴 XLSX·CSV로 드립니다.

검증 결과: 7개 사례 평균 88.4/100점, 일반 모델 1회 텍스트 응답 53.3점. 실측 1~1초, 외부 AI 사용 없음. 동일 도구 조건의 실험이 아닌 납품 결과 비교이며, 반복 개선에 사용한 사례의 결과로 일반적인 성능을 보장하지 않습니다.

입력과 결과 형식

넣는 값 입력

  • 워크플로 YAML필수yaml

    글 · 최대 100,000자

    .github/workflows 아래 파일 원문을 붙여 넣습니다.

  • 파일 경로path

    글 · 최대 200자

    결과 표에 적을 경로입니다.

  • 최대 발견 수max_findings

    정수

입력은 글자 수 합계 100,000자까지, 처리 시간은 최대 20초입니다.

받는 값 결과

  • 요약summary

    묶음

  • 잡별 권한jobs

    목록 (잡 · 권한 · 권한 출처 · 쓰기 범위)

  • 발견findings

    목록 (줄 · 잡 · 규칙 · 위험도 · 내용 · 조치)

  • 규칙별 건수counts

    목록 (규칙 · 건수)

  • 확인할 점notes

    글 목록

  • 근거 수준evidence_level

    글 (unconfirmed)

  • 저장소 확인 여부confirmed

    예/아니오

  • 확인하지 않은 범위scope_note

    글

  • 결과 파일artifacts

    목록 (파일 ID · 파일 이름 · 설명 · 파일 형식 · 파일 주소 · 파일 해시 · 크기(바이트) · 너비 · 높이 · 길이(초)) · 최대 20개

API·MCP 로 쓰기

  1. API 키 준비인증키와 포인트는 다른 리퀘오 API 와 같습니다
  2. REST 또는 MCP 로 요청아래 예시를 복사해 입력만 바꾸기
  3. 결과 받기화면 실행과 같은 금액·정산 규칙

REST

curl -X POST https://reqeo.com/rest/skills/sk_9b81cc445932daa8/runs \
  -H "Authorization: Bearer YOUR_API_KEY" \
  -H "Idempotency-Key: my-request-001" \
  -H "Content-Type: application/json" \
  -d '{"input":{"yaml":"name: ci\non:\n  pull_request:\n  push:\n    branches: [main]\npermissions: write-all\njobs:\n  build:\n    runs-on: ubuntu-latest\n    steps:\n      - uses: actions/checkout@v4\n      - uses: actions/setup-node@v3\n      - run: echo \"${{ secrets.NPM_TOKEN }}\"\n      - run: echo \"${{ github.event.pull_request.title }}\"\n  deploy:\n    runs-on: ubuntu-latest\n    permissions:\n      contents: read\n      packages: write\n    steps:\n      - uses: actions/checkout@8f4b7f84864484a7bf31766abe9204da3cbe65b3","path":".github/workflows/ci.yml"}}'

Idempotency-Key 는 요청마다 새로 정하는 값입니다. 같은 값으로 다시 보내면 한 번만 실행되고 같은 결과를 돌려받습니다.

MCP

엔드포인트  https://reqeo.com/mcp/skills
도구        run_skill
skill_id    sk_9b81cc445932daa8

자세한 요청·응답 형식은 개발가이드에 있습니다.

리뷰 0개

로그인하고 이 스킬을 실행하면 리뷰를 남길 수 있습니다. 로그인

아직 리뷰가 없습니다. 실행해 본 뒤 첫 리뷰를 남겨 주세요.

질문·토론

실행 전 궁금한 점이나 사용 경험을 나눠 주세요. 별점 평가는 위의 리뷰에 남깁니다. 판매자가 쓴 글에는 '판매자' 표시가 붙고, 이름은 첫 글자만 보입니다.

로그인하면 질문을 남기거나 답글을 달 수 있습니다.

댓글을 불러오는 중입니다…

추천 스킬 전체 보기

결과물 사용 조건 버전 2

결과물 형식
상품 설명의 결과 형식
상업적 이용
상업적 이용 가능
포함된 제3자 자산(폰트·이미지·음원 등)의 조건
등록된 조건 없음
고객 입력에 필요한 권리
등록된 조건 없음
그 밖의 조건
등록된 조건 없음

판매자가 이 버전에 등록한 조건입니다. 버전이 승인된 뒤에는 바뀌지 않으며, 실행 결과의 명세에 그때 조건이 함께 담깁니다. 리퀘오가 결과물의 권리를 보증하는 것은 아닙니다. 자세한 기준은 이용약관을 확인해 주세요.