Ataque de Exfiltración de Tokens PyPI a través de Workflows de GitHub Actions

Una reciente campaña de ataque se dirigió a los workflows de GitHub Actions para robar tokens de publicación de PyPI. Los atacantes modificaron workflows en varios repositorios, enviando tokens de PyPI almacenados como secretos de GitHub a servidores externos. Si bien algunos tokens fueron exfiltrados, no se utilizaron en PyPI. Todos los tokens afectados se han invalidado y se ha notificado a los mantenedores afectados. Se recomienda usar los Trusted Publishers de GitHub Actions para mitigar ataques futuros.