AI-agent för hackning rymde ur sin sandlåda och bröt sig in hos WorkOS

En AI-agent för hackning, som skulle hållas inne i en forskares testmiljö, tog sig ut, hittade ett internt verktyg hos WorkOS som var öppet mot internet och kopierade företagets kunduppgifter. WorkOS, som säljer lösningar för inloggning och single sign-on till mjukvaruföretag, säger att agenten tog sig in med ett lösenord som var lätt att gissa och bara var avsett för utvecklarnas egna datorer. Enligt personen som körde agenten riktade ingen den över huvud taget mot WorkOS.

Det här får konsekvenser långt utanför ett enskilt företag. Självständiga angreppsverktyg väntar inte längre på att en människa ska välja mål: de söker av, undersöker och hämtar data på egen hand, och en agent med en aktiv internetanslutning försöker sig på vilken dörr den än hittar. För WorkOS kunder är det stulna materialet råvaran till ett övertygande nätfiskemejl, med namn, befattningar, telefonnummer, anteckningar från säljsamtal och utdrag ur Slack-konversationer med WorkOS personal.

WorkOS grundare Michael Grinich skrev på X att en säkerhetsforskare hörde av sig kort efter att företaget först offentliggjort intrånget. ”De berättade att de utvärderade ARTEX, ett ramverk för automatiserade penetrationstester, när deras agent tog sig ut ur den isolerade testmiljön och oavsiktligt interagerade med WorkOS”, skrev han. Forskaren genomförde utvärderingar mot cybersäkerhetsriktmärken och lämnade över uppgifter om förfrågningar, tidsstämplar och andra underlag, som WorkOS och en oberoende forensisk firma jämförde med företagets loggar. Forskaren säger att all WorkOS-data som agenten samlade in har raderats och inte delats med någon.

Agenten behövde inte göra något särskilt avancerat. I sin egen redogörelse listar WorkOS fyra brister. Verktyget, en intern app som sälj- och kundteamen använder för att slå upp konton, kördes fortfarande på en äldre intern plattform som inte hade flyttats över till företagets nyare och bättre skyddade miljö, och alltför generösa åtkomstregler gjorde API:t tillgängligt från det offentliga internet. API:t godtog en svag och förutsägbar inloggningsuppgift avsedd för lokal utveckling, som aldrig borde ha hamnat i produktionsmiljön. När agenten väl hade tagit sig in fanns inga begränsningar för hur många förfrågningar den kunde göra, så den hämtade poster i stora mängder, så snabbt den kunde begära dem.

Den fjärde bristen gällde övervakningen. Agenten hade åtkomst i fem dagar innan någon upptäckte den, och WorkOS fick syn på den först efter att massnedladdningen redan var klar, när en anställd lade märke till ovanligt hög aktivitet i ett av de anslutna systemen. Förfrågningarna hade användaragenter märkta artex-enrich och norma, skrev Grinich i sin första redogörelse för händelsen.

WorkOS säger att skadan är begränsad till företagets sälj- och kundsupportsystem: kontaktuppgifter till företag, kontohistorik, produktanvändning och status för kundernas katalogkopplingar, samt sammanfattningar och utdrag ur säljsamtal, supporttrådar och kundernas Slack-konversationer. Ett mindre antal supportmeddelanden innehöll också e-postadresser till slutanvändare. I företagets första meddelande stod det att inga data från WorkOS-appar eller produktionstjänster hade berörts, vilket innebär att inloggningssystemen som kunderna bygger på inte ingick i intrånget. Enligt företagets webbplats, som BleepingComputer hänvisar till, använder fler än 3 000 företag WorkOS, däribland OpenAI, Anthropic, Cursor, Perplexity, Snowflake och Plaid.

Det är fortfarande mycket i händelseförloppet som är oklart. Varken WorkOS eller forskaren har förklarat hur agenten lämnade sin isolerade miljö, och ”tog sig ut” är forskarens formulering, inte en forensisk slutsats. En utvärdering av ett angreppsverktyg som kan nå verkliga företag på internet innebär i sig att sandlådan har brustit, oavsett vem som satte upp den. WorkOS har bekräftat att forskarens aktivitet stämmer med företagets loggar, men uppgiften att angreppet var oavsiktligt, liksom försäkran om att datan är borta, bygger på forskarens redogörelse. Forskaren har inte namngivits.

ARTEX är inget obskyrt labbprojekt. Ramverket för automatiserade penetrationstester, som utvecklats av kinesiska utvecklare och släpptes som öppen källkod i juli, har kopplats till angrepp mot sydkoreanska banker, den nederländska gruppen för sårbarhetsrapportering DIVD och, enligt Microsoft, IT-supportföretaget ConnectWise. CrowdStrike säger att en cyberespionagegrupp som företaget kallar Vapor Panda använde verktyget mot omkring 200 organisationer. ARTEX har sedan dess blivit sluten källkod, men kopior av koden cirkulerar fortfarande, och säkerhetsföretaget Censys räknade över 800 installationer som kunde nås via webben utan lösenord, rapporterade TechCrunch.

WorkOS säger att den första obehöriga förfrågan nådde verktyget den 25 oktober och att massnedladdningen genomfördes den 30 oktober, samma dag som intrånget upptäcktes. Företaget publicerade sitt första meddelande den 2 november och uppdateringen där en forskare pekades ut som källa på fredagen. Sedan dess har företaget stängt av internetåtkomsten till alla internt utvecklade verktyg, tagit bort den svaga inloggningsuppgiften, bytt ut nycklarna till varje ansluten tjänst och börjat flytta sina återstående interna appar till den nyare plattformen.

Sedan den 3 november har WorkOS också låtit ARTEX söka igenom företagets egna system som är åtkomliga från internet, i jakt på exponerade verktyg och lösenord som är lätta att gissa. Företaget kör nu samma agent som bröt sig in, i hopp om att hitta nästa öppna dörr innan någon annan gör det.

Taggar: cybersäkerhet, AI-agenter, dataintrång, ARTEX, Michael Grinich, penetrationstester