AI工作流平台Trigger.dev披露安全事件，部分客户环境变量遭未授权访问
Trigger.dev确认攻击者访问了客户环境变量，可能泄露API密钥。公司已封堵途径并通知用户，但未公开具体攻击方式和受影响范围。
开源AI工作流执行平台Trigger.dev于11月1日披露一起安全事件，证实攻击者未经授权访问了部分客户组织的环境变量。该公司表示已封堵攻击途径，并向受影响客户发送电子邮件提供补救步骤，但截至报道时未公开具体的攻击方式、受影响的组织数量以及被存取的变量内容。
Trigger.dev允许开发者使用TypeScript构建后台任务、排程和AI代理。在开发实践中，环境变量常被用于存储API密钥、访问令牌及数据库连接密码，以便程序在连接云服务或第三方接口时进行验证。如果攻击者获取了这些有效凭证，可能进一步访问客户所连接的外部服务。
根据Trigger.dev的技术文档，开发者可将敏感配置标记为“Secret”，使其建立后不再显示于管理界面。目前尚不清楚攻击者是否成功存取到此类加密的Secret变量，或利用何种具体途径获取相关数据。
Trigger.dev首席技术官Eric Allam在事故公告中表示，调查已发现部分客户组织受到影响。官方状态页面已将此事件标记为“已解决”，并将API列为受影响服务，解决时间定为台湾时间11月2日上午6时50分。该公司承诺后续将公布更多事故细节。