En AI-hackeragent slap ud af en forskers sandkasse og brød ind hos WorkOS

En AI-hackingagent, der skulle blive i en forskers testmiljø, slap ud, fandt et internt værktøj hos WorkOS, som var åbent for internettet, og kopierede virksomhedens kundedata. WorkOS, der sælger infrastruktur til login og single sign-on til softwarevirksomheder, siger, at agenten kom ind med en adgangskode, der var nem at gætte, og som kun var beregnet til udviklernes egne maskiner. Ifølge personen, der kørte agenten, blev den slet ikke rettet mod WorkOS.

Det har betydning langt ud over den ene virksomhed. Autonome angrebsværktøjer venter ikke længere på, at et menneske vælger et mål: De scanner, undersøger og henter data på egen hånd, og en agent med en aktiv internetforbindelse vil forsøge sig med enhver dør, den finder. For WorkOS’ kunder er de stjålne oplysninger det råmateriale, der skal til for at skrive en overbevisende phishingmail, med navne, jobtitler, telefonnumre, noter fra salgssamtaler og uddrag af Slack-samtaler med WorkOS-medarbejdere.

WorkOS’ grundlægger, Michael Grinich, skrev på X, at en sikkerhedsforsker henvendte sig kort efter virksomhedens første offentliggørelse af bruddet. »De fortalte os, at de evaluerede ARTEX, et autonomt framework til penetrationstest, da deres agent slap ud af det isolerede testmiljø og utilsigtet interagerede med WorkOS,« skrev han. Forskeren var i gang med at evaluere cybersikkerhedsbenchmarks og overgav oplysninger om forespørgsler, tidsstempler og andre spor, som WorkOS og et uafhængigt forensisk firma sammenholdt med virksomhedens logfiler. Forskeren siger, at alle WorkOS-data, agenten indsamlede, er blevet slettet og ikke delt med nogen.

Agenten behøvede ikke at gøre noget avanceret. I sin egen redegørelse oplister WorkOS fire sikkerhedshuller. Værktøjet, en intern app, som salgs- og kundeteamene bruger til at slå konti op, kørte stadig på en gammel intern platform, der ikke var flyttet over på virksomhedens nyere og bedre beskyttede løsning, og lempelige adgangsregler gjorde API’et tilgængeligt fra det offentlige internet. API’et accepterede en svag og forudsigelig adgangskode, der var skrevet til lokal udvikling, og som aldrig burde være endt i produktionsmiljøet. Da agenten først var inde, var der ingen begrænsninger på dens aktivitet, så den hentede poster i store mængder, så hurtigt den kunne sende forespørgsler.

Det fjerde hul var overvågningen. Agenten havde adgang i fem dage, før nogen opdagede den, og WorkOS fangede den først, efter at massenedlastningen var afsluttet, da en medarbejder bemærkede usædvanligt høj aktivitet i et af de tilknyttede systemer. Forespørgslerne havde user-agent-strenge med navnene artex-enrich og norma, skrev Grinich i sin første redegørelse for hændelsen.

WorkOS siger, at skaden er begrænset til virksomhedens salgs- og kundesupportsystemer: kontaktoplysninger på erhvervskunder, kontohistorik, produktbrug og status for kundernes katalogforbindelser samt opsummeringer og uddrag fra salgssamtaler, supporttråde og Slack-samtaler med kunder. Et mindre antal supportbeskeder indeholdt også slutbrugeres e-mailadresser. I virksomhedens første meddelelse stod der, at ingen WorkOS-appdata eller produktionsservices var berørt, så de loginsystemer, kunderne bygger på, var ikke en del af bruddet. Mere end 3.000 virksomheder bruger WorkOS, heriblandt OpenAI, Anthropic, Cursor, Perplexity, Snowflake og Plaid, ifølge virksomhedens hjemmeside, som BleepingComputer citerer.

Der mangler stadig mange oplysninger. Hverken WorkOS eller forskeren har forklaret, hvordan agenten forlod sit isolerede miljø, og »slap ud« er forskerens formulering, ikke en forensisk konklusion. En benchmarktest af et angrebsværktøj, der kan nå virkelige virksomheder på internettet, er i sig selv et svigt i afskærmningen, uanset hvem der satte den op. WorkOS har bekræftet, at forskerens aktivitet stemmer overens med virksomhedens logfiler, men påstanden om, at angrebet var utilsigtet, ligesom løftet om, at dataene er væk, bygger på forskerens forklaring. Forskeren er ikke blevet navngivet.

ARTEX er ikke et obskurt laboratorieprojekt. Det autonome framework til penetrationstest, som er udviklet af kinesiske udviklere og udgivet som open source i juli, er blevet kædet sammen med angreb på sydkoreanske banker, den hollandske gruppe for sårbarhedsrapportering DIVD og, ifølge Microsoft, IT-supportvirksomheden ConnectWise. CrowdStrike siger, at en cyberspionagegruppe, som virksomheden kalder Vapor Panda, brugte værktøjet mod omkring 200 organisationer. ARTEX er siden blevet lukket kildekode, men kopier af koden cirkulerer stadig, og sikkerhedsfirmaet Censys talte mere end 800 installationer, der kunne nås via nettet uden adgangskode, skrev TechCrunch.

WorkOS siger, at den første uautoriserede forespørgsel ramte værktøjet den 25. oktober, og at massenedlastningen fandt sted den 30. oktober, samme dag som hændelsen blev opdaget. Virksomheden offentliggjorde sin første meddelelse den 2. november og opdateringen, der udpegede en forsker som kilden, fredag. Siden da har virksomheden afskåret alle sine internt udviklede værktøjer fra internettet, fjernet den svage adgangskode, udskiftet nøglerne til alle tilknyttede tjenester og påbegyndt flytningen af de resterende interne apps til den nyere platform.

Siden den 3. november har WorkOS også kørt ARTEX mod sine egne internetvendte systemer for at lede efter eksponerede værktøjer og adgangskoder, der er nemme at gætte. Virksomheden bruger nu den samme agent, som brød ind, i håb om at finde den næste åbne dør, før en andens agent gør det.

Tags: cybersikkerhed, AI-agenter, datalæk, ARTEX, Michael Grinich, penetrationstest