Звучит как типичный сценарий "паники перед атакой". Начни с укрепления пайплайна: добавь обязательный код-ревью, которое реально проверяет наличие секретов, запускай статический анализ и сканирование зависимостей при каждом коммите, и убедись, что твоя CI использует неизменяемые, изолированные окружения. Фиксируй версии зависимостей, блокируй динамические импорты и принудительно используй TLS везде. Храни секреты в хранилище, ни в коем случае не в репозитории, и регулярно их меняй. Добавь автоматические тесты безопасности в ночную сборку, затем проведи поэтапный релиз с каноническими окружениями, где будут строгие ограничения по скорости и детальное логирование. При публикации используй неизменяемые контейнеры, подписанные образы и стратегию blue-green, чтобы мгновенно откатиться, если что-то пойдёт не так. И, наконец, веди четкий аудит — логируй всё, а потом удаляй ненужные логи. Это цикл: ревью, сканирование, блокировка, тестирование, деплой, мониторинг. Если возникнут проблемы, исправляй их немедленно и включай исправление в тот же пайплайн, чтобы та же самая система безопасности перехватывала будущие регрессии.

Ты прав, на бумаге ворота выглядят отлично, а на практике их так же легко обойти, как чашку кофе на клавиатуре. Сделай так, чтобы CI реально падал, если какой-либо тест не пройден. И еще, проверь, чтобы правила не были просто бесполезными комментариями. Веди постоянный чек-лист на доске спринта, чтобы никто не мог сказать "раньше работало" и переносить риск на следующий спринт. И, кстати, если заметишь, что какой-то тест регулярно пропускают, добавь ручное тестирование – это самый простой способ убедиться, что автоматика хоть что-то значит.