GitHub Agentic Workflows 0.83.4、Googleのキーレス認証に対応し、エージェント出力のポリシーコンパイルを強化

GitHubは7月27日、Agentic Workflows（`gh-aw`）0.83.4をリリースした。今回の焦点は新たなチャットインターフェースの追加ではなく、GitHub Actions内でエージェントがモデル用のアイデンティティを取得し、副作用を伴う操作を生成し、企業ポリシーによる制約を受ける仕組みの改善にある。新版では、GeminiワークフローがGoogle Vertex AIのWorkload Identity Federation（WIF）を介して短期クレデンシャルを交換できるようになった。これにより、デプロイ担当者はGitHub Secretsに長期間保存していたサービスアカウントキーを削除でき、キー漏えい後に繰り返し悪用されるリスクを低減できる。

Copilot SDKが提供するモデルエンドポイントを利用するチーム向けに、ワークフローのfrontmatterで`extraHeaders`、`extraBodyFields`、`sessionId`を設定できるようになった。これにより、エージェントはプロバイダーが要求するルーティング、テナント、セッション情報を渡せる。一方で、コンパイル後のワークフローが機密性の高い中間データをより多く保持する可能性もある。アップグレード時には、許可するヘッダーとフィールドをコードレビューの対象に含め、エージェントへの入力やリポジトリの内容が認証およびルーティング用パラメータに影響しないようにする必要がある。

セキュリティ面では、`PolicyCompiler.Compile`と帰属に関するコンプライアンステストが追加され、新たなsafe-outputフィールドのエイリアスによってエージェント出力のフォーマットエラーを識別しやすくなった。`gh-aw`の中核設計では、モデルに読み取り専用権限のみを与え、Issueの作成、コメントの投稿、PRの提出といった要求は、隔離されたジョブで検証する。ドキュメントによれば、安全な出力には許可・禁止パターン、件数上限、対象リポジトリ、保護対象ファイルのポリシーも設定できる。0.83.4では、デフォルトのAgent Workflow FirewallとMCP Gatewayも更新され、リリースアセットにはハッシュとattestationが提供される。

エンジニアリングチームは、WIFが排除するのは静的キーだけであり、過度に広いクラウドIAM、GitHub OIDCのsubject条件、出力ポリシーまでは是正できない点に注意すべきだ。本番導入前には、信頼条件が組織、リポジトリ、ブランチ、ワークフローに紐付けられているかを引き続き確認し、再コンパイル後にlock fileを比較したうえで、書き込み権限なし、またはstagedモードでアップグレード後の実際の権限を検証する必要がある。