Trigger.dev 고객 환경 변수 노출

Hacker News 의견들 이걸 "Resolved"로 처리했다니 이해하기 어려움. 환경 변수를 노출해 놓고 이메일로 알렸으니 끝이라는 건가? 어떻게, 어느 범위까지 노출됐는지도 모르면서 해결됐다고 할 수 있는 건가? 사고 대응팀이 어떤 조치를 해야 상태 페이지에서 해결 처리해도 적절하다고 보나? 맞춤형 소프트웨어를 만드는 가장 큰 이유는 공격 표면을 줄일 수 있고, 한 명만 노리는 해킹은 수익성도 낮아진다는 것임. 필요하지 않다면 인터넷에 공개하지 말고 Tailscale만 쓰면 됨. 온프레미스나 자체 호스팅도 대안임. 공격 표면이 크게 줄어듦. Tailscale도 최근에 해킹당하지 않았나? 내 기억에는 공격 경로 중 하나가 eMudhra 인증서와 관련됐던 것 같음. Tailscale만의 문제도, 직접 통제할 수 있는 일도 아니었다고 보는데, 시스템 전체가 오염돼 있어 이제는 피할 곳이 없는 듯함. 오히려 왜 인프라를 빌려 쓰는지 설명한 것 같음. 사업을 운영하지 않는 등 애초에 공격 대상이 아닐 때라면 맞을 듯함. "Resolved"가 아니라 "Mitigated"로 표시해야 함. 적어도 일정 비율의 고객이 이메일 통지를 확인할 때까지는 그래야 하며, 링크 클릭을 추적하거나 고객팀과 Zoom 통화를 잡는 식으로 확인할 수 있음. 상태 페이지의 사고를 해결 처리하다니 대담함. 악용 가능한 취약점을 고쳤다면 뭘 더 해야 하나? 해결 처리하기 전에 임의의 시간을 기다려야 하나? 해결 처리하기 전에 제대로 된 사후 분석과 개선 조치를 좀 더 자세히 설명할 수 있었을 것임. 더는 정보를 노출하지 않으니 서비스 측 사고는 끝난 셈임. 이제는 고객 측 사고이며, 고객이 비밀 정보를 교체해야 해결됨. 과거 침입 흔적에 대한 포렌식도 필요할 수 있지만, 어쨌든 더는 Trigger의 문제가 아닌 셈임. 몇 달 전 trigger.dev의 경쟁사 Inngest에서도 비슷한 일이 발생함. 악용되기 전에 패치할 수는 있었지만, 그 일로 서비스를 믿어도 되는지 의문이 들었음. 이 회사들 중 시스템 침입에 실제로 사용된 취약점을 공개한 곳이 있나? Northflank는 CVE-2026-98432를 패치했다고 밝힘. 이번 건도 비슷해 보이지만 trigger.dev가 확인한 것은 아님. 공개하지 않았음. 자신들도 모른다는 뜻일 수 있음. 이제 보안은 우선순위도 아닌 건가? 이런 일이 용납된다니 이해하기 어려움. 이 정도로 빈번하게 발생하면 공...