ADR de Hardening de Workflows GitHub Actions Orientados a Eventos: endureça CI/CD contra injeção de script e exfiltração de segredos

Pacote de 5 arquivos complementares (não é um prompt solto) que transforma um engenheiro de plataforma em um agente especializado em segurança de CI/CD orientado a eventos. O pacote guia o modelo a revisar qualquer workflow GitHub Actions (disparado por issue, PR, webhook ou badge) e produzir um Architecture Decision Record (ADR) de hardening completo, no schema exato, com plano de mudança (diff conceitual) e checklist de segurança — a partir da classe de ataque 'injeção de script pela interpolação de dados de evento' que já comprometeu provedores reais (ex.: workflows de issue que expunham credenciais de ferramenta interna, como o caso documentado envolvendo GitHub Copilot Autofix e Jira).

O que você recebe: • 01-prompt-principal.md — o prompt reusável de verdade, com persona de 'Tech Lead de Segurança de Plataformas', objetivo, schema de saída absoluto (Markdown com status, contexto, decisão, consequências, diff e checklist) e passo a passo de raciocínio em 6 etapas. • 02-regras-e-restricoes.md — 12 guardrails imperativos e numerados: nunca inventar fatos, nunca expor segredos em claro, proibido interpolar evento não confiável em run:, validar gate no contexto real, least privilege, dependências pinadas, formato de erro estruturado (yaml) para input inválido. • 03-contexto-e-exemplos.md — glossário de domínio (trust boundary, interpolação de template, gatilho sempre-verdadeiro, OIDC), premissas do ambiente e 3 exemplos few-shot completos, incluindo o caso difícil real de injeção + exfiltração + gate furado. • 04-harness-de-verificacao.md — checklist de autoverificação (12 itens) que o modelo roda ANTES de entregar + 13 critérios objetivos de aceite que VOCÊ usa para validar as saídas + roteiro de teste de 5 passos. • 05-adaptacao-para-outros-providers.md — templates de variação para GitLab CI, Jenkins e para agentes de IA (Copilot Autofix), versões longa/curta e modo sweep.

Inclui 2 diagramas SVG ilustrando a cadeia do ataque e a arquitetura endurecida do trust boundary. Ideal para equipes de plataforma, SecDevOps e repositórios públicos com workflows de metadados, automações de issue/PR e integrações com ferramentas internas (Jira, deploys, notificações).