La plataforma Trigger.dev sufrió una brecha de seguridad que expuso variables de entorno y credenciales sensibles de varios clientes. La empresa ya bloqueó el acceso, aunque el incidente resalta los riesgos de depender de servicios en la nube frente al auto-alojamiento.

Si es cliente de la plataforma de flujo de trabajo de IA alojada en la nube Trigger.dev, preste atención, ya que sus variables de entorno pueden haber quedado expuestas en un incidente de seguridad revelado el domingo.

Trigger ofreció poca explicación en su informe de incidente de seguridad del domingo [enlace], señalando que su investigación había identificado una "exposición en un subconjunto de organizaciones" y que un atacante había obtenido acceso no autorizado a las variables de entorno pertenecientes a dichas organizaciones.

Cualquier vulnerabilidad utilizada para obtener el acceso ha sido bloqueada, añadió la empresa, y los clientes afectados han sido notificados de los pasos que deben seguir para evitar más problemas de seguridad.


Probablemente no tengamos que decir a los lectores de The Reg lo importantes que son las variables de entorno en los servicios SaaS y en la nube como Trigger. Si las variables de entorno comprometidas contienen credenciales sensibles, un atacante podría básicamente quedarse con las llaves del reino, obteniendo potencialmente acceso a servicios conectados e infraestructura digital.


Para quienes no estén familiarizados con Trigger.dev, es una plataforma para construir agentes de IA y flujos de trabajo en TypeScript, pero aquí está el detalle: Trigger se promociona como una plataforma de ejecución duradera que gestiona aspectos molestos como los reintentos, el escalado y el mantenimiento de tareas de larga duración a través de fallos y redespliegues, proporcionando herramientas para monitorizar lo que hacen esas tareas.

Trigger, según indica el sitio de la empresa, puede utilizarse para "construir agentes de IA duraderos que sobrevivan a refrescos, redespliegues y fallos", y es ideal para "tareas de larga duración con reintentos, colas, observabilidad de IA y escalado elástico".

En resumen, las empresas que ejecutan su IA en Trigger probablemente quieran que siga funcionando, lo que hace que las variables de entorno robadas sean aún más peligrosas.

El escalado elástico, los reintentos automatizados y, como señala Trigger, la capacidad de ejecutar muchas operaciones concurrentes sin tiempos de espera podrían agravar las consecuencias de las claves API comprometidas, dependiendo de a qué permita acceder esas credenciales a un atacante.

Un atacante con credenciales robadas podría interferir potencialmente en los servicios conectados o flujos de trabajo de un cliente. Además, Trigger añadió recientemente webhooks a su oferta, admitiendo servicios como Stripe, Supabase y Slack, expandiendo potencialmente el rango de integraciones que podrían verse afectadas si sus credenciales quedaran expuestas.

Esto podría ser bastante grave para cualquier afectado. Trigger tiene algunos clientes de perfil bastante alto, con empresas como la marca de moda Emporio Armani, la plataforma de adquisiciones de IA que apoya al Pentágono GovSignals, la plataforma de calendario SaaS Cal.com, entre otros enumerados en el sitio de la empresa. Trigger no ha identificado públicamente qué organizaciones fueron afectadas por la intrusión.

Nos pusimos en contacto con Trigger, que se negó a proporcionar cualquier información adicional sobre el incidente. Un portavoz de la empresa nos dijo, en su lugar, que esperáramos a un informe completo del incidente para saber más.

Afortunadamente para los clientes de Trigger y aquellos preocupados por la seguridad de los SaaS ahora que la IA genera regularmente nuevas vulnerabilidades en plataformas de uso común, Trigger es código abierto [enlace] y puede ser autoalojado, lo que podría ser una mejor alternativa en los tiempos actuales que depender de un servicio alojado. 

Fuente:
TheRegister