9월 1일에 올라온 보안 회사 보고서 하나가 이번 주 해커뉴스 첫 페이지에 올랐다. 인증 없이 열려 있던 컨테이너 레지스트리에서 이미지를 받아 빌드 히스토리를 읽었더니 2023년 3월 3일 빌드 단계에 GitHub 토큰이 그대로 들어 있었다는 내용이다. 그 토큰은 2026년 7월에도 살아 있었다. 토큰은 저장소 세 곳에 admin 권한이 있었다. 사고 자체보다 궁금한 건 이거다. 내 Dockerfile의 ARG GITHUB_TOKEN도 같은 상태인가.빌드 인자가 남는 자리Docker 공식 문서 "Build secrets"의 문장이다. "Build arguments and environment variables are inappropriate for passing secrets to your build, ..
