AI工作流程平臺Trigger.dev遭駭，攻擊者未經授權存取部分客戶環境變數

AI工作流程平臺Trigger.dev於11月1日公布資安事件，證實攻擊者未經授權存取部分客戶組織的環境變數。該公司表示已封堵攻擊途徑，並通知受影響客戶採取補救措施，但沒有公開攻擊方式、受影響組織數量及遭存取的環境變數內容。

Trigger.dev是一套開源的工作流程執行平臺，讓開發者使用TypeScript建立背景工作、排程任務及AI代理，並提供工作佇列、自動重試和執行監控等功能。開發者可將長時間執行的工作交由平臺處理，透過環境變數提供程式執行時所需的設定。

環境變數除了保存一般設定，也常用來存放API金鑰、存取權杖及資料庫連線密碼，當工作流程需要連接資料庫、雲端服務或第三方API時，程式便可讀取相關環境變數進行驗證。如果攻擊者取得有效憑證，可能進一步存取客戶連接的外部服務。

根據Trigger.dev技術文件，開發者可透過管理介面、SDK或REST API管理環境變數，也能將變數標示為Secret，讓機密設定值建立後不再顯示於管理介面。目前尚不清楚攻擊者是否存取到Secret變數，或利用何種途徑取得相關資料。

Trigger.dev技術長Eric Allam在事故公告中表示，公司調查發現部分客戶組織受到影響，已向所有受影響帳戶擁有者寄送電子郵件，提供降低風險的處理步驟。Trigger.dev已在官方狀態頁將事故標示為解決，把API列為受影響服務，解決時間為臺灣時間11月2日上午6時50分，該公司表示後續將公布更多事故資訊。