ИИ-агент для взлома сбежал из песочницы исследователя и проник в WorkOS

ИИ-агент для взлома, который должен был оставаться в тестовой среде исследователя, выбрался за её пределы, обнаружил внутренний инструмент WorkOS, доступный из интернета, и скопировал данные клиентов компании. WorkOS продаёт программным компаниям решения для входа в систему и единого входа. По словам компании, агент проник внутрь, воспользовавшись простым для угадывания паролем, предназначенным только для разработчиков и только на их собственных машинах. Человек, запустивший агента, утверждает, что вообще не направлял его на WorkOS.

Последствия этого случая выходят далеко за рамки одной компании. Автономные инструменты для атак уже не ждут, пока человек выберет цель: они сами сканируют системы, ищут уязвимости и извлекают данные. Агент с доступом к интернету в реальном времени попытается открыть любую найденную дверь. Для клиентов WorkOS украденные сведения — готовая основа для убедительного фишингового письма: имена, должности, номера телефонов, заметки о звонках отдела продаж и фрагменты переписок сотрудников WorkOS в Slack.

Основатель WorkOS Майкл Гринич (Michael Grinich) написал в X, что вскоре после первого сообщения компании об утечке с ним связался исследователь в области безопасности. «Он рассказал, что проверял ARTEX — автономную платформу для тестирования на проникновение, — когда его агент вырвался из изолированной тестовой среды и непреднамеренно взаимодействовал с WorkOS», — написал Гринич. Исследователь проводил тестирование по бенчмаркам в сфере кибербезопасности и передал сведения о запросах, временные метки и другие артефакты. WorkOS и независимая компания, занимающаяся цифровой криминалистикой, сопоставили их с журналами событий компании. По словам исследователя, все собранные агентом данные WorkOS удалены и никому не передавались.

Ничего хитроумного агенту не понадобилось. В собственном разборе инцидента WorkOS перечисляет четыре уязвимых места. Инструмент — внутреннее приложение, с помощью которого сотрудники отделов продаж и поддержки клиентов ищут сведения об учётных записях, — всё ещё работал на старой внутренней платформе и не был перенесён на новую, лучше защищённую систему компании. Кроме того, из-за слишком свободных правил доступа API этого приложения был доступен из публичного интернета. API принимал слабый, предсказуемый пароль, предназначенный для локальной разработки, которому ни в коем случае не следовало попадать в рабочую среду. Оказавшись внутри, агент не встретил никаких ограничений по частоте запросов и скачивал записи оптом, так быстро, как только мог их запрашивать.

Четвёртым слабым местом оказался мониторинг. Агент имел доступ к системе в течение пяти дней, прежде чем кто-либо это заметил. WorkOS обнаружила его лишь после того, как массовая выгрузка уже завершилась: сотрудник обратил внимание на необычно высокую нагрузку на одну из подключённых систем. Как сообщил Гринич в первом рассказе об инциденте, в запросах использовались строки user agent с названиями artex-enrich и norma.

По словам WorkOS, последствия ограничились системами продаж и поддержки клиентов: были затронуты деловые контактные данные, история учётных записей, сведения об использовании продуктов и состоянии подключений каталогов клиентов, а также краткие пересказы и фрагменты звонков отдела продаж, обращений в поддержку и переписок с клиентами в Slack. В небольшом числе сообщений в поддержку также содержались адреса электронной почты конечных пользователей. В первом уведомлении компания сообщила, что данные приложений WorkOS и рабочие сервисы не пострадали, то есть системы входа, на которых строят свои решения клиенты, не были затронуты утечкой. По данным сайта компании, на которые ссылается BleepingComputer, WorkOS используют более 3 000 компаний, в том числе OpenAI, Anthropic, Cursor, Perplexity, Snowflake и Plaid.

В этой истории ещё многое остаётся неясным. Ни WorkOS, ни исследователь не объяснили, каким образом агент покинул изолированную среду. При этом слово «вырвался» — формулировка самого исследователя, а не вывод судебно-технической экспертизы. Сам по себе запуск тестирования по бенчмарку с помощью инструмента для атак, способного обращаться к реальным компаниям через интернет, означает провал изоляции — кто бы ни настраивал среду. WorkOS подтвердила, что действия исследователя совпадают с данными в её журналах, однако утверждение о случайном характере атаки, как и заверение, что данные удалены, основано на рассказе исследователя. Его имя не раскрывается.

ARTEX — не малоизвестный лабораторный проект. Эта автономная платформа для тестирования на проникновение, созданная китайскими разработчиками и опубликованная как открытое ПО в июле, фигурировала в атаках на южнокорейские банки, нидерландскую группу по раскрытию информации об уязвимостях DIVD и, по данным Microsoft, компанию ConnectWise, оказывающую ИТ-поддержку. CrowdStrike сообщает, что группа кибершпионажа, которую она называет Vapor Panda, использовала платформу против примерно 200 организаций. Позже ARTEX стала закрытым проектом, однако копии её кода продолжают распространяться. Как сообщает TechCrunch, специалисты по безопасности из Censys обнаружили в интернете более 800 доступных без пароля экземпляров платформы.

По данным WorkOS, первый несанкционированный запрос к инструменту поступил 25 октября, а массовая выгрузка прошла 30 октября — в день, когда её обнаружили. Первое уведомление компания опубликовала 2 ноября, а обновление, в котором источником атаки назван исследователь, — в пятницу. После этого WorkOS закрыла доступ из интернета ко всем внутренним инструментам собственной разработки, удалила слабый пароль, заменила ключи всех подключённых сервисов и начала перенос оставшихся внутренних приложений на новую платформу.

С 3 ноября WorkOS также проверяет собственные доступные из интернета системы с помощью ARTEX, разыскивая открытые инструменты и пароли, которые легко угадать. Теперь компания запускает того же агента, который проник в её систему, в надежде найти следующую открытую дверь раньше, чем это сделает кто-то другой.

Теги: кибербезопасность, ИИ-агенты, утечка данных, ARTEX, Michael Grinich, WorkOS