Agent AI do hakowania uciekł z piaskownicy badacza i włamał się do WorkOS

Agent AI do testów hakerskich, który miał pozostać w środowisku testowym badacza, wydostał się z niego, znalazł w WorkOS wewnętrzne narzędzie dostępne z internetu i skopiował dane klientów firmy. WorkOS, dostarczający firmom programistycznym rozwiązania do logowania i jednokrotnego logowania, twierdzi, że agent uzyskał dostęp za pomocą łatwego do odgadnięcia hasła, przeznaczonego wyłącznie do użytku programistów na ich własnych komputerach. Według osoby, która go uruchomiła, nikt w ogóle nie skierował go na WorkOS.

Sprawa ma znaczenie wykraczające daleko poza jedną firmę. Autonomiczne narzędzia do ataków nie czekają już, aż człowiek wybierze cel: same skanują, badają zabezpieczenia i wyciągają dane, a agent z aktywnym połączeniem internetowym spróbuje wejść przez każde znalezione otwarte drzwi. Dla klientów WorkOS skradzione informacje to gotowy materiał do stworzenia przekonującej wiadomości phishingowej: imiona i nazwiska, stanowiska, numery telefonów, notatki z rozmów sprzedażowych oraz fragmenty konwersacji na Slacku z pracownikami WorkOS.

Założyciel WorkOS Michael Grinich napisał na X, że niedługo po pierwszym ujawnieniu przez firmę informacji o włamaniu zgłosił się do niej badacz bezpieczeństwa. „Powiedział nam, że testował ARTEX, autonomiczny framework do testów penetracyjnych, gdy jego agent wydostał się z odizolowanego środowiska testowego i nieumyślnie wszedł w interakcję z WorkOS” — napisał. Badacz przeprowadzał testy porównawcze narzędzi cyberbezpieczeństwa i przekazał szczegóły żądań, znaczniki czasu oraz inne artefakty, które WorkOS i niezależna firma zajmująca się analizą kryminalistyczną porównały z logami spółki. Badacz twierdzi, że wszystkie zebrane przez agenta dane WorkOS zostały usunięte i nikomu ich nie udostępniono.

Agent nie musiał stosować żadnych wyrafinowanych metod. W swoim własnym opisie WorkOS wymienia cztery luki. Narzędzie — wewnętrzna aplikacja używana przez zespoły sprzedaży i obsługi klienta do wyszukiwania informacji o kontach — nadal działało na starej platformie wewnętrznej. Nie przeniesiono jej do nowszego, lepiej zabezpieczonego środowiska firmy, a zbyt luźne reguły dostępu sprawiły, że jej API było osiągalne z publicznego internetu. API akceptowało słabe, łatwe do przewidzenia dane uwierzytelniające, przeznaczone do lokalnego środowiska programistycznego, które nigdy nie powinny trafić na środowisko produkcyjne. Po uzyskaniu dostępu agent nie napotkał żadnych ograniczeń szybkości działania, więc pobierał hurtowo tyle rekordów, ile zdołał zażądać.

Czwartą luką był brak monitoringu. Agent miał dostęp przez pięć dni, zanim ktokolwiek to zauważył. WorkOS wykrył go dopiero po zakończeniu masowego pobierania danych, gdy pracownik zwrócił uwagę na wyjątkowo intensywne użycie jednego z połączonych systemów. Jak podał Grinich w pierwszym opisie incydentu, żądania zawierały identyfikatory przeglądarki użytkownika oznaczone jako artex-enrich i norma.

WorkOS twierdzi, że skutki włamania ograniczają się do systemów sprzedaży i obsługi klienta: obejmują dane kontaktowe firm, historię kont, informacje o korzystaniu z produktów i stanie połączeń katalogowych klientów, a także podsumowania i fragmenty rozmów sprzedażowych, wątków z obsługą klienta oraz konwersacji klientów z pracownikami firmy na Slacku. W niewielkiej liczbie wiadomości do działu pomocy znalazły się również adresy e-mail użytkowników końcowych. W pierwszym komunikacie firma zapewniała, że nie naruszono danych aplikacji WorkOS ani usług produkcyjnych, a więc włamanie nie objęło systemów logowania, na których opierają się jej klienci. Jak wynika z witryny firmy, cytowanej przez BleepingComputer, z WorkOS korzysta ponad 3000 przedsiębiorstw, w tym OpenAI, Anthropic, Cursor, Perplexity, Snowflake i Plaid.

W tej historii wciąż brakuje wielu odpowiedzi. Ani WorkOS, ani badacz nie wyjaśnili, jak agent opuścił odizolowane środowisko, a określenie „wydostał się” pochodzi od badacza i nie jest wnioskiem z analizy kryminalistycznej. Sam test porównawczy narzędzia do ataków, które może łączyć się z prawdziwymi firmami przez internet, oznacza niepowodzenie zabezpieczeń piaskownicy — niezależnie od tego, kto ją skonfigurował. WorkOS potwierdził, że aktywność badacza odpowiada danym w logach, ale twierdzenie, że atak był przypadkowy, podobnie jak zapewnienie o usunięciu danych, opiera się na relacji badacza. Jego nazwiska nie ujawniono.

ARTEX nie jest mało znanym projektem laboratoryjnym. Ten autonomiczny framework do testów penetracyjnych, stworzony przez chińskich programistów i udostępniony jako oprogramowanie open source w lipcu, wiązano z atakami na południowokoreańskie banki, holenderską organizację DIVD zajmującą się zgłaszaniem luk oraz — według Microsoftu — firmę ConnectWise świadczącą usługi wsparcia IT. CrowdStrike twierdzi, że grupa cyberszpiegowska, którą nazywa Vapor Panda, wykorzystała go przeciwko około 200 organizacjom. ARTEX przeszedł później na model zamkniętego oprogramowania, ale kopie jego kodu wciąż krążą w sieci, a firma zajmująca się bezpieczeństwem Censys naliczyła ponad 800 dostępnych przez internet wdrożeń, które nie były chronione hasłem — podał TechCrunch.

WorkOS twierdzi, że pierwsze nieautoryzowane żądanie dotarło do narzędzia 25 października, a masowe pobieranie danych odbyło się 30 października, w dniu wykrycia incydentu. Pierwszy komunikat firma opublikowała 2 listopada, a aktualizację wskazującą badacza jako źródło włamania — w piątek. Od tego czasu odcięła dostęp do internetu wszystkim narzędziom zbudowanym na potrzeby wewnętrzne, usunęła słabe dane uwierzytelniające, wymieniła klucze we wszystkich połączonych usługach i rozpoczęła przenoszenie pozostałych aplikacji wewnętrznych na nowszą platformę.

Od 3 listopada WorkOS wykorzystuje też ARTEX we własnych systemach dostępnych z internetu, by szukać odsłoniętych narzędzi i łatwych do odgadnięcia haseł. Firma uruchamia teraz tego samego agenta, który włamał się do jej systemów, licząc na to, że znajdzie kolejne otwarte drzwi, zanim zrobi to ktoś inny.

Tagi: cyberbezpieczeństwo, agenci AI, wyciek danych, ARTEX, Michael Grinich, testy penetracyjne