Miri, проверяльщик Rust-кода, тихо сохранял переменные окружения в папку target/. Если в этом запуске были токены, они оседали на диске. Дальше стандартный GitHub Actions кешировал target для ускорения следующих сборок — и pull request мог вытащить секреты из кеша, хотя напрямую их не получал.
Сработали три условия: Miri с секретами, кеширование target и доступ PR к этому кешу. Исправление ограничивает набор сохраняемых переменных, но обновление не чистит старые артефакты.
Если у вас были такие сборки — сносите кеш и меняйте секреты. И передавайте их только тем шагам, где без них никак. 🔐