GitHub Actions endurece workflows y reduce rutas clásicas de `pwn request`.

Resumen

GitHub movió dos controles relevantes para Actions: `actions/checkout` v7 ahora bloquea por defecto patrones inseguros en `pull_request_target`, y además lanzó políticas centralizadas para definir quién puede disparar workflows y con qué eventos. La señal conjunta es clara: CI/CD sigue siendo una superficie crítica de supply chain.

Fuentes

GitHub Changelog: Safer pull_request_target defaults GitHub Changelog: Control who and what triggers workflows