[P0] drift-check 静默失败 — GOVERNANCE_TOKEN 失效导致检测链路完全失明

[randypanding]

红队测试报告 RT-P0-05

报告编号: RT-2026-0819-001
测试日期: 2026-08-19
严重度: P0（治理防线可绕过）

问题描述

如果 GOVERNANCE_TOKEN 过期/被吊销/权限被降级，governance-drift.yml 将每次运行都以 exit 2 退出。由于无通知机制，持续失败等同于持续检测盲区。

受影响治理 ID

• GM-1 (governance_meta 漂移检测)

受影响文件

• .github/workflows/governance-drift.yml
• governance/drift-check.sh

攻击路径

攻击者窃取/吊销 GOVERNANCE_TOKEN → 随意篡改 org 配置 → drift-check 永远失败但无人知晓 → 10 个检测项同时失效。

建议修复

1. 在 governance-drift.yml 中增加 on.failure → issue 创建步骤
2. 使用专属 label auto-drift-failure 区分漂移发现和检测器自身故障
3. 失败 issue 自动 @owner 和 team:stewardship 负责人
4. 创建独立的 governance-health 工作流，监控 drift-check 历史成功率

详情

完整报告见：RED_TEAM_REPORT.md