Un agente IA da hacker è fuggito dalla sandbox ed è entrato in WorkOS

Un agente di hacking basato sull’IA, che avrebbe dovuto restare nell’ambiente di test di un ricercatore, ne è uscito, ha trovato uno strumento interno di WorkOS esposto a Internet e ha copiato i dati dei clienti dell’azienda. WorkOS, che fornisce alle società software sistemi di accesso e autenticazione unificata, afferma che l’agente è entrato usando una password facilmente indovinabile, destinata soltanto ai computer degli sviluppatori. Secondo la persona che lo ha avviato, nessuno gli aveva chiesto di puntare WorkOS.

La vicenda va ben oltre una singola azienda. Gli strumenti di attacco autonomi non aspettano più che sia una persona a scegliere un bersaglio: scansionano, sondano e sottraggono dati da soli, e un agente con accesso a Internet in tempo reale proverà ad aprire qualsiasi porta trovi. Per i clienti di WorkOS, il materiale rubato è la materia prima per costruire email di phishing convincenti: comprende nomi, qualifiche, numeri di telefono, note delle chiamate commerciali ed estratti di conversazioni Slack con il personale di WorkOS.

Il fondatore di WorkOS, Michael Grinich, ha scritto su X che un ricercatore di sicurezza si è fatto avanti poco dopo il primo annuncio della violazione da parte dell’azienda. «Ci ha detto che stava valutando ARTEX, un framework autonomo per i test di penetrazione, quando il suo agente è uscito dall’ambiente di test isolato e ha interagito involontariamente con WorkOS», ha scritto. Il ricercatore stava conducendo valutazioni di benchmark per la cybersicurezza e ha fornito i dettagli delle richieste, gli orari e altri elementi, che WorkOS e una società indipendente di analisi forense hanno confrontato con i log aziendali. Il ricercatore afferma di aver cancellato ogni dato di WorkOS raccolto dall’agente e di non averlo condiviso con nessuno.

All’agente non è servito nulla di particolarmente sofisticato. Nel suo resoconto, WorkOS elenca quattro falle. Lo strumento, un’app interna usata dai team commerciali e di assistenza clienti per consultare gli account, funzionava ancora su una vecchia piattaforma interna e non era stato trasferito al nuovo ambiente dell’azienda, meglio protetto; inoltre, regole di accesso permissive lasciavano la sua API raggiungibile dalla rete pubblica. L’API accettava una credenziale debole e prevedibile, pensata per lo sviluppo locale, che non avrebbe mai dovuto arrivare in produzione. Una volta dentro, l’agente non incontrava alcun limite alle richieste e ha quindi scaricato i dati in massa, alla massima velocità consentita dalle sue interrogazioni.

La quarta falla riguardava il monitoraggio. L’agente ha avuto accesso per cinque giorni prima che qualcuno se ne accorgesse, e WorkOS lo ha rilevato solo quando il download in massa era già terminato, dopo che un dipendente aveva notato un’attività insolitamente intensa su uno dei sistemi collegati. Nella sua prima ricostruzione dell’incidente, Grinich ha detto che le richieste riportavano gli user agent artex-enrich e norma.

WorkOS afferma che la violazione si è limitata ai suoi sistemi commerciali e di assistenza clienti: dati di contatto aziendali, cronologie degli account, utilizzo dei prodotti e stato delle connessioni alle directory dei clienti, oltre a riepiloghi ed estratti di chiamate commerciali, conversazioni con l’assistenza e scambi su Slack con i clienti. Un numero limitato di messaggi all’assistenza conteneva anche gli indirizzi email degli utenti finali. Nel primo avviso, l’azienda ha precisato che i dati delle app WorkOS e i servizi di produzione non erano stati toccati: i sistemi di accesso su cui si basano i suoi clienti, quindi, non sono stati coinvolti nella violazione. Secondo il sito dell’azienda, come riportato da BleepingComputer, WorkOS è utilizzata da oltre 3.000 società, tra cui OpenAI, Anthropic, Cursor, Perplexity, Snowflake e Plaid.

Molti aspetti della vicenda restano da chiarire. Né WorkOS né il ricercatore hanno spiegato come l’agente sia uscito dall’ambiente isolato, e «escaped» è il termine usato dal ricercatore, non una conclusione forense. Eseguire un benchmark con uno strumento di attacco in grado di raggiungere aziende reali su Internet costituisce già di per sé un fallimento del sandbox, a prescindere da chi lo abbia configurato. WorkOS ha confermato che l’attività del ricercatore corrisponde ai suoi log, ma l’affermazione secondo cui l’attacco è stato accidentale, così come la garanzia che i dati siano stati cancellati, si basa sul racconto del ricercatore. Il suo nome non è stato reso noto.

ARTEX non è un progetto di laboratorio poco conosciuto. Il framework autonomo per i test di penetrazione, realizzato da sviluppatori cinesi e rilasciato come software open source a luglio, è stato associato ad attacchi contro banche sudcoreane, il gruppo olandese per la divulgazione delle vulnerabilità DIVD e, secondo Microsoft, la società di assistenza informatica ConnectWise. CrowdStrike afferma che un gruppo di cyberspionaggio da essa denominato Vapor Panda lo ha usato contro circa 200 organizzazioni. Da allora ARTEX è diventato a codice chiuso, ma copie del suo codice continuano a circolare; la società di sicurezza Censys ha rilevato oltre 800 installazioni raggiungibili sul web senza password, ha riferito TechCrunch.

WorkOS afferma che la prima richiesta non autorizzata ha raggiunto lo strumento il 25 ottobre e che il download in massa è avvenuto il 30 ottobre, giorno in cui è stato rilevato. L’azienda ha pubblicato il primo avviso il 2 novembre e venerdì ha diffuso un aggiornamento indicando un ricercatore come fonte dell’attività. Da allora ha bloccato l’accesso a Internet a tutti gli strumenti sviluppati internamente, rimosso la credenziale debole, sostituito le chiavi di ogni servizio collegato e avviato il trasferimento delle app interne ancora sulla vecchia piattaforma.

Dal 3 novembre WorkOS sta anche usando ARTEX sui propri sistemi accessibili da Internet, per individuare strumenti esposti e password facilmente indovinabili. Ora l’azienda esegue lo stesso agente che si è introdotto nei suoi sistemi, nella speranza di trovare la prossima porta lasciata aperta prima che lo faccia qualcun altro.

Tag: agenti IA, sicurezza informatica, violazione dei dati, ARTEX, Michael Grinich, penetration test