資安指南

Trigger.dev 資安事件（2026年11月）：0.66% 客戶的根 API 金鑰與環境變數遭存取，請重新產生金鑰並輪替憑證

Trigger.dev 11月6日報告：0.66% 的客戶受影響，攻擊者取得了根 API 金鑰。如何確認是否收到通知、重新產生金鑰並輪替憑證。

發布於 2026-11-05 更新於 2026-11-07 最後核實 2026-11-07 閱讀時間 3 分鐘

本頁內容

適用對象：在 Trigger.dev 上執行任務或作業，並把 API 金鑰、資料庫連線資訊或雲端憑證保存在環境中的開發者與團隊。本文依據 Trigger.dev 的部落格文章與狀態頁面，不涉及攻擊手法。

後續報告已發布：本文將隨機構發布更多資訊而更新

適用對象: 在 Trigger.dev 上執行任務或作業，並把 API 金鑰、資料庫連線資訊或雲端憑證保存在環境中的開發者與團隊。
已確認的影響範圍查看表格 ↓: 受影響客戶的占比
根 API 金鑰
環境變數
另外1項
執行、部署與排程的列表及中繼資料
尚未確認的事項: 攻擊途徑（公司為保護調查與客戶而不揭露）
未經授權的存取從何時開始，持續了多久
受影響客戶的實際數量
另外1項
所取得的資訊是否被實際濫用
現在要做的事查看步驟 ↓: 查看是否有通知：電子郵件與控制台橫幅都要看
如果受影響，請重新產生您的 Trigger.dev API 金鑰
如果受影響，請輪替環境中的憑證
另外3項
在核發服務處檢查用量、日誌與帳單
用新值重新部署，確認任務能執行
設定支出上限，把金鑰拆分為小權限的金鑰
查證來源（出處）全部來源 ↓: Trigger.dev，部落格，事件報告（2026年11月6日）— trigger.dev/blog/security-incident-report-nov-2026
最後查證: 截至2026年11月7日（JST）

續報計畫與查證紀錄

公司在11月6日發布了報告，內容涉及攻擊者被阻斷、受影響客戶的占比、被取得的內容以及客戶應採取的措施。公司稱將在能夠負責任地公開時分享攻擊途徑。我們於2026年11月7日（JST）查看時，沒有發現進一步的更新。

Trigger.dev 使用者今天該做什麼

查看是否有通知：電子郵件與控制台橫幅都要看

公司稱，受影響的客戶已在11月1日（約 21:36 UTC）與11月2日（20:27 UTC）收到電子郵件，並會在控制台中看到通知橫幅。請先確認您組織的所有者是否收到了郵件（包括垃圾郵件資料夾），以及控制台是否顯示橫幅。

公司稱，沒有收到影響通知的客戶未受影響。如果不確定，公司請您用帳號的電子郵件地址寫信給 help@trigger.dev，並稱會優先處理與此事件相關的支援請求。

如果受影響，請重新產生您的 Trigger.dev API 金鑰

公司稱，攻擊者取得了根 API 金鑰，公司已撤銷受影響環境中可能受影響的金鑰。重新產生的說明已透過電子郵件寄給受影響的客戶。如果 CI 或應用程式仍在使用舊金鑰，請替換為新金鑰。

公司已發布針對範圍受限 API 金鑰的 IP 限制以及 OIDC 支援。重新核發金鑰時，如果適合您的環境，請加以使用。

如果受影響，請輪替環境中的憑證

這包括受影響環境中的資料庫密碼、第三方 API 金鑰、存取權杖等。請按這個順序操作：在核發服務處撤銷舊憑證（AI 服務商、雲端、資料庫、支付、郵件），建立新憑證，在 Trigger.dev 中設定並重新部署。在 Trigger.dev 中編輯或刪除變數，並不能阻止別人已經拿到的副本。

公司稱，環境變數在靜態儲存時是加密的，僅在執行時即時解密。但根金鑰可完整存取環境的設定，包括其環境變數，因此最穩妥的做法是把受影響環境中的這些變數視為已被取走。

在核發服務處檢查用量、日誌與帳單

在我們讀到的來源中，公司沒有說明未經授權的存取從何時開始，因此依本站的經驗法則，請至少回溯到10月下旬，並把時間範圍放寬。在各個核發服務處，開啟用量、存取日誌、金鑰列表與帳單，查看不認識的請求、異常的模型或區域，以及費用的突然上升。

對於資料庫，還要查看來自陌生來源的連線，以及您平時不會執行的作業。如果發現可疑使用，請向核發機構回報，並同時替換該環境中的其他金鑰。

用新值重新部署，確認任務能執行

設定新值之後，重新部署，並確認執行中的任務與排程任務能用新值正常運作。由於舊金鑰已被撤銷，遺漏的變數會讓任務失敗。可以利用這些失敗找出哪個變數仍是舊的。

設定支出上限，把金鑰拆分為小權限的金鑰

在 AI 服務商與雲端處，設定每月預算上限與提醒。為每個金鑰限定單一用途與最小權限，並按應用程式與環境使用不同的金鑰。金鑰越小，外洩造成的損失越小。關於不讓金鑰進入程式碼與日誌的基礎知識，參見.env 與 API 金鑰到底危險在哪裡。

發生了什麼（依據 Trigger.dev 的公告）

以下內容依據公司11月6日的報告、11月1日的部落格文章與狀態頁面條目。11月6日的報告是作為首次揭露的後續發布的。

11月1日
公司得知此事件。基礎設施警示標記出異常活動；公司判斷其為惡意行為，阻斷了攻擊者並緩解了攻擊途徑。在部落格上首次揭露。
11月1日約 21:36 UTC
向受影響的客戶寄出第一封電子郵件。
11月1日 22:50 UTC
建立同名的狀態頁面條目。
11月2日 20:27 UTC
向受影響的客戶寄出第二封電子郵件。
11月6日 12:27 UTC
狀態頁面條目被標記為「Resolved」（已解決），並連結到11月6日的報告。
11月6日
公司發布更完整的報告：0.66% 的客戶受影響、根 API 金鑰被取得、回傳了哪些內容，以及客戶該怎麼做。
11月7日
本站複查。沒有發布進一步的更新。

公司的說法

0.66% 的客戶。根 API 金鑰被取得，環境變數被存取，回傳了執行、部署與排程的資料

未說明

攻擊途徑（未揭露）、開始日期、實際客戶數量、是否被濫用

如果受影響：重新產生 API 金鑰，然後在核發服務處撤銷並替換該環境的憑證。

公司說了什麼，沒有說什麼

報告所述內容（Trigger.dev，2026年11月6日）

影響: 全部客戶的 0.66%。攻擊者取得了部分客戶環境的根 API 金鑰，並存取了這些環境的環境變數
回傳的內容: 在部分環境中，回傳了最近的執行、部署與排程的列表：ID、任務名稱、執行冪等鍵、執行狀態、標籤、部署中繼資料與錯誤、排程的外部 ID 以及執行中繼資料
未發現: 沒有發現其他客戶資料、其他服務、公司自身的正式環境資料庫或客戶控制台帳號被存取的證據（公司）
公司的因應: 阻斷了攻擊者並緩解了攻擊途徑，作為預防措施輪替了內部憑證，審查了日誌，通知了受影響的客戶，撤銷了可能受影響的 API 金鑰，實施了基於風險的自動帳號限制，聘請了事件應變專家，並通知了執法機關
未揭露: 攻擊途徑（為保護調查與客戶）、開始日期、實際客戶數量、是否有任何內容被濫用

已知與未知

以下為截至2026年11月7日（JST）的狀態。標為「未說明」的項目不在我們所讀到的公司報告中；並不表示已確認安全。

項目	公司的說法	狀態
受影響客戶的占比	全部客戶的 0.66%	已確認（公司）
根 API 金鑰	攻擊者取得了部分客戶環境的根 API 金鑰	已確認外洩（公司）
環境變數	攻擊者獲得了未經授權的存取	受影響（公司）
執行、部署與排程的列表及中繼資料	在部分環境中被回傳	已確認外洩（公司）
其他客戶資料、其他服務、公司自身的正式環境資料庫、控制台帳號	沒有證據顯示它們被存取	未確認（公司）
Webhook 簽章金鑰	未暴露	不包含（公司）
自行託管的部署	未受影響	不包含（公司）
沒有收到通知的客戶	未受影響	公司說明
攻擊途徑	為保護調查與客戶而不揭露；將在能夠負責任地公開時分享	調查中（公司未揭露）
存取何時開始、持續多久	在我們所讀到的報告中未說明	未說明
受影響客戶的實際數量	只有占比（0.66%）	未說明
所取得資訊是否被濫用	未說明	未說明

如何理解：變數中的憑證是否被使用，目前仍不清楚

公司把已被取得的內容與沒有證據顯示被存取的內容區分開來。公司沒有說明存放在環境變數中的憑證是否被實際使用。如果您受到影響，不要等到確認它們沒有被使用；請先在核發服務處撤銷。

環境變數被存取可能導致什麼

一般而言，從環境變數中被存取的金鑰可能被如下濫用。這並不表示此處已發生所有這些情況。

AI 服務 API 金鑰：別人以您的帳號發送請求，由您承擔帳單，或者金鑰被轉售
資料庫密碼與連線字串：讀取或更改您應用程式的資料，包括您自己使用者的紀錄
雲端與支付金鑰：建立資源或發起產生費用的呼叫
簽章金鑰：接受偽造的請求，或偽造工作階段

此次回傳的執行與部署中繼資料（任務名稱、標籤、錯誤）本身不是機密，但它暗示了您使用哪些服務以及如何使用。這可能被用來編造有針對性、令人信服的訊息。

背景任務平台的特點是把許多外部服務的憑證集中放在一處。如果一個平台的變數被看到，多個服務的金鑰可能同時面臨風險。關於其他涉及環境變數與機密的案例，參見 Northflank、Zeabur 與 Railway。它們是各自獨立的案例，沒有任何一起被確認與此事件有相同的原因。

給營運方：從公司揭露內容得到的教訓

這些要點來自公司公布的事實，並不是對 Trigger.dev 的進一步評判。

接近根權限的金鑰可觸及整個環境的設定。公司稱，取得根 API 金鑰即可存取環境變數。請按用途拆分平台金鑰，並盡可能使用公司已發布的收窄選項，如 IP 限制與 OIDC。
通知透過電子郵件與控制台送達。請把所有者地址設為在人員離職後仍然有效的共用信箱，避免被垃圾郵件過濾，並定期查看控制台橫幅。
讓交給平台的金鑰能夠快速替換。針對每個核發機構，事先確定如何撤銷與重新核發，並按環境與用途拆分金鑰，以便在通知到來的當天就能採取行動。
給存放在變數中的金鑰最小的權限。如果一個平台的變數被看到，損失取決於每個金鑰能做什麼。

資料來源（公開紀錄）

本文的事實依據下列公開資訊。對於公司尚未揭露的攻擊途徑及其原因，我們不做臆測。

Trigger.dev，部落格，事件報告（2026年11月6日）— trigger.dev/blog/security-incident-report-nov-2026
Trigger.dev，部落格，「Security Disclosure: Sunday November 1st」（2026年11月1日）— trigger.dev/blog/security-incident-nov-2026
Trigger.dev，狀態頁面，「Security Disclosure: Sunday November 1st」（2026年11月1日 22:50 UTC 建立；11月6日 12:27 UTC 標記為已解決，並連結到11月6日的報告）— status.trigger.dev/incident/1110434

更新紀錄

2026-11-07：新增公司11月6日的報告：0.66% 的客戶受影響，根 API 金鑰與環境變數被取得，回傳了執行、部署與排程的資料，攻擊途徑未揭露。操作步驟現以查看通知（電子郵件與控制台橫幅）、重新產生 API 金鑰與輪替環境憑證為核心；並補充了 Webhook 簽章金鑰未暴露、自行託管的部署未受影響。 2026-11-05：首版。依據 Trigger.dev 截至2026年11月5日的部落格與狀態頁面。

FAQ

QTrigger.dev 發生了什麼？

據 Trigger.dev 稱，基礎設施警示在11月1日標記出異常活動。公司判斷其為惡意行為，並阻斷了攻擊者。攻擊者取得了部分客戶環境的根 API 金鑰，並存取了這些環境的環境變數。在部分環境中，攻擊者還列出了最近的執行、部署與排程。公司稱全部客戶的 0.66% 受到影響。

Q我的組織受影響嗎？

公司稱，受影響的客戶已在11月1日（約 21:36 UTC）與11月2日（20:27 UTC）收到電子郵件，並會在控制台中看到通知橫幅。公司稱，沒有收到影響通知的客戶未受影響。請查看所有者的收件匣（包括垃圾郵件）以及控制台。如果不確定，公司請您用帳號的電子郵件地址寫信給 help@trigger.dev。

Q如果我受到影響，應該怎麼做？

公司給出兩個步驟。第一，重新產生您的 Trigger.dev API 金鑰；說明已透過電子郵件寄給受影響的客戶。第二，輪替受影響環境中的憑證，如資料庫密碼、第三方 API 金鑰與存取權杖，並在各服務商處撤銷舊憑證。公司已撤銷了可能受影響的 API 金鑰。

Q事件是由什麼引起的？

未揭露。公司稱，為保護調查與客戶，不揭露攻擊途徑，並將在能夠負責任地公開時分享。

Q需要輪替 Webhook 簽章金鑰嗎？

公司稱 Webhook 簽章金鑰未暴露，無需輪替。這是關於公司自身 Webhook 簽章的說明。如果受影響的環境中存放了其他服務的憑證，請依上述方式輪替。

Q自行託管的部署受影響嗎？

公司稱自行託管的使用者未受影響。對於自行託管，公司建議將 WHITELISTED_EMAILS 設定為您控制的帳號，以單一租戶模式執行。

Q如果收到自稱來自 Trigger.dev 的訊息怎麼辦？

不要開啟郵件或訊息中的連結。請直接開啟您加入書籤的控制台，以及公司的部落格與狀態頁面。公司稱已透過電子郵件與控制台橫幅聯繫受影響的客戶，但公告沒有說明如何辨識寄件者。切勿在回覆或表單中提供金鑰的值或驗證碼。

Q如何檢查我的金鑰是否被濫用？

如果您受到影響，請針對環境中存放的憑證，開啟各核發服務的用量、存取日誌與帳單頁面（AI 服務商、雲端、支付、郵件）。在我們讀到的來源中，公司沒有說明存取從何時開始，因此依本站的經驗法則，請至少回溯到10月下旬並擴大範圍，留意不認識的請求或費用的突然上升。