Un attaquant a pu consulter des réglages secrets chez une partie des clients de la plateforme Trigger.dev
La plateforme TypeScript pour agents d'IA et tâches de fond affirme avoir colmaté la brèche, mais reste muette sur la cause et le nombre de clients touchés.
Trigger.dev, une plateforme open source permettant aux développeurs de créer et d'exécuter en TypeScript des tâches de fond et des agents d'IA, a signalé dimanche un incident de sécurité. Selon le communiqué publié sur son blog, un attaquant a obtenu un accès non autorisé aux variables d'environnement d'une partie des organisations utilisatrices. La faille exploitée a été bloquée, assure l'entreprise, et les titulaires des comptes concernés ont reçu un courriel détaillant les mesures à prendre.
Trigger.dev ne précise ni comment l'attaquant s'est introduit ni combien de clients sont touchés. L'entreprise a aussi refusé de donner des détails à The Register en attendant un rapport d'incident complet. RuntimeWire, qui cite le directeur technique Eric Allam, rappelle que ces variables contiennent souvent des clés d'API et des mots de passe donnant accès à d'autres services et infrastructures.
The Register observe que les clients soucieux d'éviter le risque d'un service hébergé peuvent aussi faire tourner eux-mêmes la plateforme, dont le code est ouvert. Ceux qui stockaient des secrets dans Trigger.dev ont intérêt à les remplacer, selon la presse spécialisée.