Un agent AI de hacking a scăpat din sandboxul unui cercetător și a spart WorkOS

Un agent AI de hacking, care trebuia să rămână în mediul de testare al unui cercetător, a scăpat de acolo, a găsit un instrument intern al WorkOS expus pe internet și a copiat datele despre clienții companiei. WorkOS, care le furnizează companiilor de software infrastructura pentru autentificare și conectare unică, spune că agentul a intrat folosind o parolă ușor de ghicit, destinată doar dezvoltatorilor și propriilor lor mașini. Potrivit persoanei care l-a rulat, nimeni nu l-a îndreptat către WorkOS.

Miza depășește cu mult cazul unei singure companii. Instrumentele autonome de atac nu mai așteaptă ca un om să aleagă o țintă: scanează, sondează și extrag date pe cont propriu, iar un agent conectat la internet va încerca orice ușă pe care o găsește. Pentru clienții WorkOS, materialele furate sunt ingredientele brute ale unui e-mail de phishing convingător: nume, funcții, numere de telefon, notițe din convorbirile de vânzări și fragmente din conversații Slack cu angajații WorkOS.

Fondatorul WorkOS, Michael Grinich, a scris pe X că un cercetător în securitate a contactat compania la scurt timp după ce aceasta a dezvăluit inițial breșa. „Ne-a spus că evalua ARTEX, un cadru autonom de testare a penetrării, când agentul său a evadat din mediul de testare izolat și a interacționat fără intenție cu WorkOS”, a scris el. Cercetătorul rula evaluări pentru un benchmark de securitate cibernetică și a predat detaliile cererilor, marcajele temporale și alte artefacte, pe care WorkOS și o firmă independentă de investigații criminalistice le-au confruntat cu jurnalele companiei. Cercetătorul afirmă că a șters toate datele WorkOS colectate de agent și că nu le-a transmis nimănui.

Agentul nu a avut nevoie de nimic sofisticat. În propria sa analiză, WorkOS enumeră patru vulnerabilități. Instrumentul — o aplicație internă folosită de echipele de vânzări și de relații cu clienții pentru a căuta informații despre conturi — funcționa încă pe o platformă internă veche, care nu fusese mutată pe noua infrastructură, mai bine protejată, a companiei, iar regulile permisive de acces lăsau API-ul accesibil de pe internetul public. API-ul accepta o acreditare slabă și previzibilă, creată pentru dezvoltarea locală, care nu ar fi trebuit să ajungă niciodată în mediul de producție. Odată intrat, agentul nu a întâmpinat nicio limită de trafic și a extras în bloc înregistrările, cât de repede a putut să le solicite.

A patra vulnerabilitate ținea de monitorizare. Agentul a avut acces timp de cinci zile înainte ca cineva să observe, iar WorkOS l-a depistat abia după ce descărcarea în bloc se încheiase deja, când un angajat a remarcat o utilizare neobișnuit de intensă a unuia dintre sistemele conectate. Cererile au fost trimise cu identificatori de agent utilizator etichetați „artex-enrich” și „norma”, a spus Grinich în prima sa relatare despre incident.

WorkOS afirmă că impactul se limitează la sistemele sale de vânzări și de asistență pentru clienți: date de contact profesionale, istoricul conturilor, utilizarea produselor și starea conexiunilor de directoare ale clienților, precum și rezumate și fragmente din apeluri de vânzări, conversații cu echipele de asistență și discuții Slack cu clienții. Un număr mic de mesaje adresate serviciului de asistență conțineau și adresele de e-mail ale utilizatorilor finali. În prima sa notificare, compania a spus că nu au fost accesate datele aplicațiilor WorkOS sau serviciile de producție, astfel că sistemele de autentificare pe care clienții săi le folosesc nu au fost afectate de breșă. Potrivit site-ului companiei, citat de BleepingComputer, peste 3.000 de companii folosesc WorkOS, printre care OpenAI, Anthropic, Cursor, Perplexity, Snowflake și Plaid.

Multe aspecte ale poveștii rămân neclare. Nici WorkOS, nici cercetătorul nu au explicat cum a ieșit agentul din mediul izolat, iar „a evadat” este formularea cercetătorului, nu o concluzie criminalistică. O rulare de benchmark pentru un instrument de atac care poate ajunge la companii reale de pe internet reprezintă, în sine, un eșec al izolării, indiferent cine a configurat-o. WorkOS a confirmat că activitatea cercetătorului corespunde jurnalelor sale, însă afirmația că atacul a fost accidental — la fel ca promisiunea că datele au fost șterse — se bazează pe relatarea cercetătorului. Numele acestuia nu a fost făcut public.

ARTEX nu este un proiect obscur de laborator. Cadrul autonom de testare a penetrării, creat de dezvoltatori chinezi și lansat ca software cu sursă deschisă în iulie, a fost asociat cu atacuri asupra unor bănci sud-coreene, asupra grupului olandez de raportare a vulnerabilităților DIVD și, potrivit Microsoft, asupra companiei de suport IT ConnectWise. CrowdStrike afirmă că un grup de cyber-spionaj pe care îl numește Vapor Panda l-a folosit împotriva a aproximativ 200 de organizații. Între timp, ARTEX a devenit cu sursă închisă, dar copii ale codului său continuă să circule, iar firma de securitate Censys a identificat peste 800 de instalări accesibile pe web fără parolă, a relatat TechCrunch.

WorkOS spune că prima cerere neautorizată a ajuns la instrument pe 25 octombrie, iar descărcarea în bloc a avut loc pe 30 octombrie, ziua în care a fost detectată. Compania a publicat prima notificare pe 2 noiembrie, iar vineri a difuzat o actualizare în care a identificat un cercetător drept sursa incidentului. De atunci, a blocat accesul la internet pentru toate instrumentele construite intern, a eliminat acreditarea slabă, a schimbat cheile tuturor serviciilor conectate și a început să-și mute aplicațiile interne rămase pe noua platformă.

Începând cu 3 noiembrie, WorkOS a folosit ARTEX și pe propriile sisteme expuse la internet, în căutarea instrumentelor neprotejate și a parolelor ușor de ghicit. Acum, compania rulează același agent care a pătruns în sistemele sale, în speranța că va găsi următoarea ușă lăsată deschisă înainte să o găsească agentul altcuiva.

Etichete: știri, securitate cibernetică, agenti AI, breșă de date, ARTEX, Michael Grinich