12月2日から、該当する Actions event ポリシーで明示許可が無い公開リポジトリでは、GitHub Actions が pull_request_target を既定でブロックする。強制開始は当初予定の11月2日から12月2日へ後ろ倒し。既定ルールは workflow execution protections 経由で入り、恒久強制前は evaluate モードで、ブロック対象になり得るランを失敗させずに把握できる。private および internal リポジトリは対象外。
pull_request_target はベースリポジトリのコンテキストで動き、シークレットに触れうる。fork 由来の未信頼コードをそのまま実行すると、パイプライン侵害やシークレット窃取のリスクがある。既定ブロックはそのリスクを下げつつ、必要なワークフローだけ event ポリシーで許可する前提。
恒久強制前のブラウンアウト（いずれも UTC 16<00>–18<00>）:
- 11月9日: 既定ルールで止まる試行は失敗ランとエラー注釈付き。実行はされない
- 11月16日: 同上
各ウィンドウ終了後は evaluate に戻り、警告付きでランは通る。
対象は GitHub Free・Team・Enterprise Cloud の公開リポジトリ。GitHub Enterprise Server には適用されない。
11月9日の最初のブラウンアウト前:
- Insights で evaluate 時にブロック対象になるランを確認する
- 既定ブロックのままにするか、依存があるなら適用可能な Actions event ポリシーで
pull_request_targetを明示許可する - 特定ワークフローのみ許可する場合は workflow file targeting で絞る