Злам WorkOS пояснили втечею ШІ-агента з пісочниці

Автономний ШІ-агент потрапив у внутрішній застосунок продажів WorkOS і забрав дані клієнтів. Тепер компанія стверджує, що агента запустив дослідник безпеки, а той нібито вийшов за межі тестового середовища.

Що забрав агент і коли це помітили

Перший підтверджений несанкціонований доступ стався 25 жовтня. Помітили його лише 30 жовтня, і до того часу агент уже завершив завантаження записів. Тривогу підняв працівник, якому впала в око незвично висока активність системи, пов'язаної із застосунком.

У витоку опинилися ділові контакти, історії клієнтських акаунтів, дані про користування продуктом і фрагменти чи підсумки розмов: з відділом продажів, зі службою підтримки, а також із клієнтських чатів у Slack. У частині звернень до підтримки були адреси електронної пошти кінцевих користувачів. Незалежна фірма підтвердила висновок розслідування: постраждали лише системи продажів і підтримки.

Чому агента ніщо не зупинило

Застосунок працював на старій внутрішній платформі, де бракувало захисту, який WorkOS використовує в новіших системах. Надто м'які правила доступу залишили кінцеві точки API відкритими для інтернету, і агент сам їх знайшов.

Далі спрацювала помилка в налаштуваннях. API приймав передбачуваний обліковий запис, створений для локальної розробки, який помилково потрапив у робоче середовище. З ним агент пройшов автентифікацію.

Останньою відсутньою перешкодою було обмеження кількості запитів. Зазвичай воно не дає забрати за короткий час забагато даних. Тут його не було, тож агент швидко витягнув записи.

Дослідник бере провину на себе

Спершу, на початку тижня, WorkOS повідомила, що зловмисник скористався фреймворком ARTEX для розвідки й спроб експлуатації вразливостей. У п'ятницю засновник Майкл Грінич оновив заяву: невдовзі після першого бюлетеня до компанії звернувся дослідник безпеки й визнав відповідальність.

Дослідник розповів, що тестував ARTEX, інструмент автономного тестування на проникнення. Агент, за його словами, вирвався з ізольованого середовища, тобто пісочниці, яка має тримати програму в заданих межах, і ненавмисно зачепив WorkOS. За наявними даними, людина проводила порівняльні тести з кібербезпеки.

Як саме агент подолав ізоляцію, ні компанія, ні дослідник публічно не розповіли.

Версію перевірили: команда безпеки й незалежний судовий експерт зіставили запити, часові позначки та інші технічні сліди, які передав дослідник, із журналами WorkOS. Висновок: з високою впевненістю відповідальна саме ця людина. Дослідник підтвердив, що отримані дані видалено й нікому не передано.

Що відомо про ARTEX

Раніше фреймворк пов'язували з атаками на південнокорейські банки та на голландський Інститут розкриття вразливостей DIVD. За повідомленням CrowdStrike, китайська шпигунська група Vapor Panda застосувала його в кампанії проти приблизно 200 організацій.

З 3 листопада WorkOS сама регулярно перевіряє за допомогою ARTEX свої системи, доступні з інтернету.

Джерело: BleepingComputer