Trusted Publishing звучит так, будто пакет стал безопасным.

На деле это не так.

Trusted Publishing убирает долгоживущий токен из CI и заменяет его коротким OIDC-токеном. Это сильнее, чем хранить секрет в GitHub Actions, но доверие никуда не исчезает. Оно просто переезжает в другое место.

Теперь критичны:

* кто имеет доступ к репозиторию
* кто может менять workflow
* какие third-party actions подключены
* защищены ли tags и release branches
* используется ли protected environment
* зафиксированы ли actions по SHA

Если атакующий получил возможность изменить release workflow, registry увидит “правильный” OIDC-запрос и выдаст токен на публикацию. С точки зрения системы всё будет выглядеть легитимно.

Она защищает от украденных PyPI/npm токенов, но не защищает от скомпрометированного CI, слабых permissions и дырявого release process.

Для нормального supply chain security нужны ещё protected environments, минимальные права, pinning зависимостей, контроль workflow, подписи артефактов и provenance.

Не надо путать “опубликовано через trusted workflow” с “этому пакету можно доверять”.

https://blog.yossarian.net/2026/07/07/You-shouldnt-trust-trusted-publishing