Botpress 披露安全事件：16 个客户工作区的机器人配置曾被读取
公司博文：攻击者于 10 月 13–21 日利用内部认证代理缺陷与员工 API 凭证；配置可能含第三方密钥；已要求受影响客户轮换凭证。
为何重要
Botpress 称攻击者自 10 月 12 日起探测认证代理、伪造员工会话，并于 10 月 21 日用员工管理员 API 读取 16 个工作区配置、另改两个集成设置。公司归因于倒卖 AI 额度，称无勒索、无客户数据外泄证据，源码与构建未动。当日开始遏制；凭证轮换仍在进行。提醒智能体平台常在机器人配置中存放第三方密钥。
要点
- 11 月 6 日披露
- 自 10 月 12 日起利用认证代理缺陷
- 10 月 21 日 07:44–08:23 UTC 使用员工 API 凭证
- 16 个工作区配置被读；另 2 个集成被改
- 要求将受影响机器人中存储的凭证视为已暴露