Если вы являетесь клиентом облачной платформы для AI-рабочих процессов Trigger.dev, будьте осторожны: ваши переменные окружения могли быть скомпрометированы в результате инцидента безопасности, раскрытого в воскресенье.
Компания Trigger предоставила мало объяснений в своем воскресном отчёте об инциденте, отметив лишь, что расследование выявило «утечку данных у части организаций» и что злоумышленник получил несанкционированный доступ к переменным окружения, принадлежащим этим организациям.
Компания добавила, что эксплойт, использованный для получения доступа, был заблокирован, а пострадавшие клиенты уведомлены о необходимых мерах для предотвращения дальнейших проблем с безопасностью.
Вероятно, нам не нужно объяснять читателям The Reg, насколько важны переменные окружения в SaaS-сервисах и облачных платформах, таких как Trigger. Если скомпрометированные переменные окружения содержат конфиденциальные учётные данные, злоумышленник может фактически получить ключи ко всему королевству, потенциально получив доступ к подключённым сервисам и цифровой инфраструктуре.
Для тех, кто не знаком с Trigger.dev, это платформа для создания AI-агентов и рабочих процессов на TypeScript, но вот загвоздка: Trigger позиционирует себя как платформа для долговечного выполнения задач, которая берёт на себя такие хлопотные вещи, как повторные попытки, масштабирование и поддержание долгосрочных задач при сбоях и переразвёртываниях, предоставляя при этом инструменты для мониторинга выполняемых задач.
На сайте компании Trigger отмечается, что платформа может использоваться для «создания долговечных AI-агентов, которые переживают обновления, переразвёртывания и сбои», и идеально подходит для «длительных задач с повторами, очередями, наблюдаемостью AI и эластичным масштабированием».
Короче говоря, компании, запускающие свои AI-решения на Trigger, хотят, чтобы они продолжали работать, что делает украденные переменные окружения ещё более опасными.
Эластичное масштабирование, автоматические повторные попытки и, как отмечает Trigger, возможность запускать множество параллельных операций без тайм-аутов могут усугубить последствия компрометации API-ключей, в зависимости от того, к каким ресурсам эти учётные данные дают доступ злоумышленнику.
Злоумышленник с украденными учётными данными может потенциально вмешаться в работу подключённых сервисов или рабочих процессов клиента. Кроме того, Trigger недавно добавил вебхуки в своё предложение, поддерживающие такие сервисы, как Stripe, Supabase и Slack, что потенциально расширяет круг интеграций, которые могут пострадать в случае раскрытия их учётных данных.
Это может быть довольно серьёзно для любого пострадавшего. У Trigger есть довольно известные клиенты, включая такие компании, как модный бренд Emporio Armani, поддерживающая Пентагон платформа для приобретения AI-решений GovSignals, SaaS-календарь Cal.com и другие, все они перечислены на сайте компании. Trigger не раскрыл публично, какие организации пострадали от вторжения.
Мы обратились к Trigger, но компания отказалась предоставить дополнительную информацию об инциденте. Представитель компании вместо этого посоветовал нам дождаться полного отчёта об инциденте, чтобы узнать подробности.
К счастью для клиентов Trigger и всех, кто обеспокоен безопасностью SaaS в эпоху, когда AI регулярно выявляет новые уязвимости в часто используемых платформах, Trigger является открытым исходным кодом и может быть развёрнут самостоятельно, что может быть лучшей альтернативой в наше время, чем полагаться на облачный сервис. ®
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Brandon Vigliarolo
