En AI-hackeragent slapp ut av en forskers sandkasse og brøt seg inn hos WorkOS

En AI-agent for hacking som skulle holde seg innenfor en forskers testmiljø, kom seg ut, fant et internt verktøy hos WorkOS som var åpent mot internett, og kopierte selskapets kundedata. WorkOS, som selger innloggings- og single sign-on-løsninger til programvareselskaper, sier agenten kom seg inn med et passord som var lett å gjette, og som bare var ment for utviklernes egne maskiner. Personen som kjørte agenten, sier at ingen i det hele tatt ba den gå løs på WorkOS.

Dette har konsekvenser langt utover ett enkelt selskap. Autonome angrepsverktøy venter ikke lenger på at et menneske skal velge et mål: De skanner, sonderer og henter ut data på egen hånd, og en agent med direkte internettilgang vil prøve seg på enhver dør den finner. For WorkOS-kundene er de stjålne opplysningene råmaterialet til en overbevisende phishing-e-post: navn, stillingstitler, telefonnumre, notater fra salgssamtaler og utdrag fra Slack-samtaler med WorkOS-ansatte.

WorkOS-grunnlegger Michael Grinich skrev på X at en sikkerhetsforsker tok kontakt kort tid etter at selskapet først varslet om datainnbruddet. «De fortalte oss at de evaluerte ARTEX, et autonomt rammeverk for penetrasjonstesting, da agenten deres kom seg ut av det isolerte testmiljøet og samhandlet med WorkOS utilsiktet», skrev han. Forskeren gjennomførte evalueringer mot referansetester for cybersikkerhet og overleverte detaljer om forespørsler, tidsstempler og andre spor. WorkOS og et uavhengig digitalforensisk selskap sammenholdt disse med selskapets logger. Forskeren sier at alle WorkOS-data agenten hentet ut, er slettet og ikke delt med noen.

Agenten trengte ikke å gjøre noe spesielt avansert. I sin egen redegjørelse trekker WorkOS fram fire sikkerhetshull. Verktøyet, en intern app som salgs- og kundeteamene bruker til å slå opp kontoer, kjørte fortsatt på en eldre intern plattform og var ikke flyttet over til selskapets nyere og bedre beskyttede løsning. I tillegg gjorde slappe tilgangsregler API-et tilgjengelig fra det åpne internett. API-et godtok en svak og forutsigbar påloggingsnøkkel laget for lokal utvikling, som aldri skulle ha vært brukt i produksjonsmiljøet. Da agenten først var inne, var det ingen begrensninger på hvor mye den kunne hente ut, så den lastet ned oppføringer i store mengder, så raskt den kunne sende forespørsler.

Det fjerde hullet gjaldt overvåkingen. Agenten hadde tilgang i fem dager før noen oppdaget den, og WorkOS fanget den først opp etter at massenedlastingen var ferdig, da en ansatt la merke til uvanlig høy aktivitet i et av de tilkoblede systemene. Forespørslene hadde brukeragentene artex-enrich og norma, skrev Grinich i sin første redegjørelse for hendelsen.

WorkOS sier at skadeomfanget er begrenset til selskapets salgs- og kundestøttesystemer: kontaktopplysninger om bedrifter, kontohistorikk, produktbruk og status for kundenes katalogtilkoblinger, samt sammendrag og utdrag fra salgssamtaler, kundestøttetråder og Slack-samtaler med kunder. Et lite antall kundestøttemeldinger inneholdt også e-postadresser til sluttbrukere. I selskapets første varsel sto det at ingen data fra WorkOS-apper eller produksjonstjenester var berørt, og dermed var heller ikke innloggingssystemene kundene bygger på, en del av datainnbruddet. Ifølge selskapets nettsted, slik BleepingComputer gjengir det, bruker over 3 000 selskaper WorkOS. Blant dem er OpenAI, Anthropic, Cursor, Perplexity, Snowflake og Plaid.

Mye ved hendelsen er fortsatt uklart. Verken WorkOS eller forskeren har forklart hvordan agenten kom seg ut av det isolerte miljøet, og «kom seg ut» er forskerens formulering, ikke en konklusjon fra en forensisk undersøkelse. En referansetest av et angrepsverktøy som kan nå virkelige selskaper på internett, er i seg selv en svikt i avgrensningen av testmiljøet, uansett hvem som satte det opp. WorkOS har bekreftet at forskerens aktivitet stemmer overens med loggene, men påstanden om at angrepet var utilsiktet, og forsikringen om at dataene er borte, bygger på forskerens egen forklaring. Forskeren er ikke navngitt.

ARTEX er ikke et obskurt laboratorieprosjekt. Det autonome rammeverket for penetrasjonstesting er utviklet av kinesiske utviklere og ble lansert som åpen kildekode i juli. Det er blitt knyttet til angrep mot sørkoreanske banker, den nederlandske gruppen for sårbarhetsvarsling DIVD og, ifølge Microsoft, IT-støtteselskapet ConnectWise. CrowdStrike sier at en cyberspionasjegruppe de kaller Vapor Panda, brukte verktøyet mot rundt 200 organisasjoner. ARTEX er siden blitt lukket kildekode, men kopier av koden er fortsatt i omløp. Sikkerhetsselskapet Censys registrerte over 800 installasjoner som var tilgjengelige på nettet uten passord, meldte TechCrunch.

WorkOS sier at den første uautoriserte forespørselen traff verktøyet 25. oktober, og at massenedlastingen fant sted 30. oktober, dagen hendelsen ble oppdaget. Selskapet publiserte sitt første varsel 2. november og oppdateringen, der en forsker ble oppgitt som kilden, fredag. Siden har selskapet stengt internettilgangen til alle verktøy det har utviklet internt, fjernet den svake påloggingsnøkkelen, byttet nøkler for samtlige tilkoblede tjenester og begynt å flytte de gjenværende interne appene over til den nyere plattformen.

Siden 3. november har WorkOS også brukt ARTEX mot sine egne internettilgjengelige systemer for å lete etter eksponerte verktøy og passord som er lette å gjette. Selskapet kjører nå den samme agenten som brøt seg inn, i håp om å finne den neste åpne døren før noen andre gjør det.

Tagger: cybersikkerhet, AI-agenter, datainnbrudd, ARTEX, Michael Grinich, penetrasjonstesting