盗人がTrigger AIワークフローツールから環境変数を盗み出す

何が起きたのか

Trigger.devは日曜日に、セキュリティ事故を公表しました。調査の結果、一部の組織で情報が漏れたことがわかりました。攻撃者が、その組織の環境変数に不正にアクセスしました。会社は、使われた攻撃の手口はすでにふさがれたと説明しています。影響を受けた顧客には、対策の手順が知らされています。

環境変数とは何か

環境変数は、アプリやクラウドサービスが動くときに読み込む設定のことです。中には、パスワードやAPIキー(外部サービスを使うための鍵)のような大切な情報も入っています。もしこれが盗まれると、攻撃者は接続先のサービスにも入れてしまうおそれがあります。

Trigger.devとは

Trigger.devは、AIのエージェント(自動で仕事をするプログラム)や作業の流れを作るための場所です。作業が途中で止まっても、再び動かし続けられるのが特徴です。大勢の作業を同時に動かすこともできます。Trigger.devはオープンソースで、自分の会社のサーバーに置いて使うこともできます。

わかっている主な事実

• 影響は「一部の組織」に限られると説明されています。
• 影響を受けた組織の数や名前は、まだ公表されていません。
• Trigger.devの顧客には、Emporio Armani、GovSignals、Cal.comなどが挙げられています。
• 最近、StripeやSupabase、Slackなどと連携できるウェブフック機能が追加されました。

なぜ重要なのか

環境変数が盗まれると、攻撃者が顧客のつながったサービスに入り込むおそれがあります。特に、作業が自動で続くように作られているため、盗まれた鍵が長く悪用されるかもしれません。AIを使う会社が増えるなかで、こうした仕組みを守ることはとても大切です。