Um agente de IA de hacking fugiu da sandbox de um investigador e invadiu a WorkOS

Um agente de IA concebido para realizar ataques informáticos, que deveria permanecer no ambiente de teste de um investigador, conseguiu escapar, encontrou uma ferramenta interna da WorkOS exposta à internet e copiou os registos de clientes da empresa. A WorkOS, que fornece a empresas de software a infraestrutura para gerir inícios de sessão e autenticação única, afirma que o agente acedeu à ferramenta usando uma palavra-passe fácil de adivinhar, destinada apenas às máquinas dos programadores. Segundo a pessoa que o executou, ninguém o direcionou para a WorkOS.

O caso vai muito além de uma única empresa. As ferramentas autónomas de ataque já não esperam que uma pessoa escolha um alvo: analisam, sondam e extraem dados por iniciativa própria, e um agente com ligação à internet tentará abrir qualquer porta que encontre. Para os clientes da WorkOS, os dados roubados são a matéria-prima para criar um email de phishing convincente: incluem nomes, cargos, números de telefone, notas de chamadas de vendas e excertos de conversas no Slack com funcionários da WorkOS.

O fundador da WorkOS, Michael Grinich, escreveu no X que um investigador de segurança se apresentou pouco depois de a empresa ter divulgado inicialmente a violação. «Disseram-nos que estavam a avaliar o ARTEX, uma estrutura autónoma de testes de intrusão, quando o agente escapou do ambiente de teste isolado e interagiu com a WorkOS sem intenção», escreveu. O investigador estava a realizar avaliações de referência em cibersegurança e entregou detalhes dos pedidos, registos de data e hora e outros elementos, que a WorkOS e uma empresa independente de perícia digital cruzaram com os registos da empresa. O investigador afirma que todos os dados da WorkOS recolhidos pelo agente foram apagados e não foram partilhados com ninguém.

O agente não precisou de recorrer a nada sofisticado. No seu próprio relato, a WorkOS identifica quatro falhas. A ferramenta — uma aplicação interna usada pelas equipas de vendas e de apoio ao cliente para consultar contas — continuava a funcionar numa antiga plataforma interna, sem ter sido transferida para a infraestrutura mais recente e mais protegida da empresa. Além disso, regras de acesso demasiado permissivas deixavam a API acessível a partir da internet pública. A API aceitava uma credencial fraca e previsível, criada para desenvolvimento local, que nunca deveria ter chegado a um ambiente de produção. Uma vez lá dentro, não havia qualquer limite à atividade do agente, que descarregou registos em massa tão depressa quanto os conseguia pedir.

A quarta falha dizia respeito à monitorização. O agente teve acesso durante cinco dias antes de alguém dar por isso, e a WorkOS só o detetou depois de o descarregamento em massa estar concluído, quando um funcionário reparou numa utilização invulgarmente intensa de um dos sistemas ligados. Os pedidos tinham agentes de utilizador identificados como artex-enrich e norma, afirmou Grinich no primeiro relato do incidente.

A WorkOS afirma que os danos se limitaram aos sistemas de vendas e de apoio ao cliente: dados de contacto profissionais, histórico de contas, utilização dos produtos e estado das ligações aos diretórios dos clientes, além de resumos e excertos de chamadas de vendas, conversas com o apoio e trocas de mensagens com clientes no Slack. Um pequeno número de mensagens de apoio continha também endereços de email de utilizadores finais. O primeiro comunicado da empresa indicava que não tinham sido afetados dados das aplicações da WorkOS nem serviços de produção, pelo que os sistemas de início de sessão utilizados pelos clientes nos seus próprios produtos não foram abrangidos pela violação. Mais de 3.000 empresas usam a WorkOS, entre elas a OpenAI, a Anthropic, a Cursor, a Perplexity, a Snowflake e a Plaid, segundo o site da empresa, citado pelo BleepingComputer.

Há ainda muitas lacunas no relato. Nem a WorkOS nem o investigador explicaram como é que o agente saiu do ambiente isolado, e «escapou» é a palavra usada pelo investigador, não uma conclusão da perícia digital. A execução de um teste de referência com uma ferramenta de ataque capaz de aceder a empresas reais na internet já constitui, por si só, uma falha da sandbox, independentemente de quem a tenha configurado. A WorkOS confirmou que a atividade do investigador coincide com os seus registos, mas a alegação de que o ataque foi acidental — tal como a garantia de que os dados foram apagados — assenta no relato do investigador. O nome do investigador não foi divulgado.

O ARTEX não é um projeto obscuro de laboratório. Esta estrutura autónoma de testes de intrusão, desenvolvida por programadores chineses e lançada como código aberto em julho, foi associada a ataques contra bancos sul-coreanos, o grupo neerlandês de divulgação de vulnerabilidades DIVD e, segundo a Microsoft, a empresa de apoio informático ConnectWise. A CrowdStrike afirma que um grupo de ciberespionagem a que chama Vapor Panda a utilizou contra cerca de 200 organizações. Entretanto, o ARTEX passou a ser disponibilizado como código fechado, mas continuam a circular cópias do seu código, e a empresa de segurança Censys contabilizou mais de 800 instalações acessíveis na web sem palavra-passe, noticiou a TechCrunch.

A WorkOS afirma que o primeiro pedido não autorizado à ferramenta ocorreu a 25 de outubro e que o descarregamento em massa teve lugar a 30 de outubro, no dia em que foi detetado. A empresa publicou o primeiro comunicado a 2 de novembro e divulgou na sexta-feira uma atualização que identificava um investigador como origem do incidente. Desde então, bloqueou o acesso à internet a todas as ferramentas desenvolvidas internamente, removeu a credencial fraca, substituiu as chaves de todos os serviços ligados e começou a transferir as restantes aplicações internas para a plataforma mais recente.

Desde 3 de novembro, a WorkOS também tem usado o ARTEX nos seus próprios sistemas expostos à internet, à procura de ferramentas vulneráveis e palavras-passe fáceis de adivinhar. A empresa utiliza agora o mesmo agente que conseguiu entrar nos seus sistemas, na esperança de encontrar a próxima porta aberta antes de alguém o fazer.

Etiquetas: cibersegurança, agentes de IA, violação de dados, ARTEX, Michael Grinich, testes de intrusão