Commit imposteur
Commit imposteur : commit créé dans une bifurcation d'un dépôt, mais accessible sous le nom du dépôt d'origine (propriétaire/action@<empreinte>), parce que GitHub partage les objets Git dans tout le réseau des bifurcations. Il n'appartient à aucune branche ni étiquette du dépôt d'origine, et ses mainteneurs ne l'ont jamais vu.
Une empreinte copiée d'une source douteuse peut donc désigner un code hostile tout en ayant l'air officielle. Le contrôle consiste à vérifier que l'empreinte est atteignable depuis une branche ou une étiquette du dépôt d'origine (audit impostor-commit de zizmor).