事故摘要

2023 年 1 月，CircleCI 公告指出攻擊者透過員工端點入侵影響生產環境，並要求客戶輪替 secrets。

本案例的演示焦點：CI 平台側被入侵 → 客戶 secrets 整批暴露 → 下游全面輪替壓力的 secrets-blast-radius 事件。重點在 secrets 範圍 / 輪替成本與 inventory 的設計。

攻擊路徑

1. 以端點路徑取得平台側存取能力。
2. 觸及集中管理的 secrets。
3. 把風險擴散到客戶部署環境。

失效控制面

• CI secrets 集中化且缺少分域隔離。
• 輪替流程成本高，導致執行延遲。
• 客戶端難以快速判斷最小必要輪替範圍。

如果 workflow 少一步會發生什麼

若缺少「分批輪替與優先級排序」流程，團隊要在壓力下做全面輪替，容易造成服務中斷或遺漏。

可落地的 workflow 檢查點

• 發布前：定義 secrets 分級與依賴地圖（依 blast radius 分層、不只依名稱），mechanism 是讓事件期間的輪替能依風險排序、不靠 ad-hoc 判斷。
• 日常：定期演練 rollback strategy 與 secrets 更新（含「假設整個 CI vendor 受損」的 fire drill）。
• 事故中：按分級快速輪替、並記錄 MTTR（前提是事先有 secrets inventory 跟 owner mapping）。

從本案例到實作的 chain

本案例是事故敘事 layer，沿三步 chain 進入 implementation：

• 控制面：7.8 secrets 與機器憑證治理 + 7.6 供應鏈完整性與 artifact 信任 —— mitigation 的 mechanism / 前提 / context-dependence 在這裡定義。
• 演練 / 控制落地：Supply chain artifact drill + Credential hygiene pattern + Recovery readiness pattern —— 把樣式轉成輪替演練、credential 治理與回復欄位。
• 跨章交接：backend/05-deployment-platform 的 CI/CD 機制、backend/08-incident-response 的止血與回復順序。

供應鏈類事故不對應紅隊 problem-cards，主要 chain 直接從控制面起步。

來源