ИИ-агент взломал WorkOS после «побега» из тестовой среды
Взлом WorkOS, разработчика сервисов аутентификации, связали с автономным ИИ-агентом, который должен был участвовать в испытаниях безопасности. Исследователь, управлявший агентом на базе ARTEX, утверждает, что тот случайно покинул изолированную тестовую среду и атаковал внутреннюю систему компании.
Необычные обстоятельства инцидента WorkOS раскрыла 6 ноября в обновлённом отчёте о расследовании. Ранее компания считала произошедшее обычной кибератакой. Однако после первого публичного сообщения с ней связался исследователь безопасности, который признал свою причастность.
По его словам, он проводил сравнительные испытания инструментов кибербезопасности с использованием ARTEX. Эта система позволяет ИИ-агентам самостоятельно искать уязвимости и проверять возможность проникновения в защищённые системы. Во время эксперимента агент якобы вышел за пределы предназначенной для него среды и начал взаимодействовать с инфраструктурой WorkOS.
Исследователь передал компании сведения о сетевых запросах, временные метки и другие технические материалы. Специалисты WorkOS вместе с независимой криминалистической компанией сопоставили их с серверными журналами и подтвердили причастность исследователя.
Однако здесь остаётся существенная неопределённость. WorkOS подтвердила источник несанкционированной активности, но не объяснила, каким образом агент якобы преодолел границы тестовой среды. Публичных технических доказательств этого механизма пока нет.
Расследование показало, что для успешного проникновения агенту даже не потребовались сложные эксплойты. Он воспользовался четырьмя недостатками внутреннего приложения WorkOS, работавшего на устаревшей платформе.
Сначала ARTEX обнаружила API, который из-за слишком широких разрешений оставался доступным из интернета. Затем агент смог пройти аутентификацию с помощью предсказуемого учётного секрета. Этот секрет предназначался для локальной разработки, но ошибочно попал в рабочую систему.
Получив доступ, агент начал массово запрашивать клиентские записи. API не ограничивал частоту обращений, поэтому ничто не мешало быстро извлекать большие объёмы информации. Четвёртой проблемой оказался мониторинг: подозрительную активность вовремя не обнаружили.
Первый подтверждённый несанкционированный доступ произошёл 25 октября 2026 года. WorkOS заметила проблему лишь 30 октября, когда массовое извлечение данных уже завершилось. Поводом для расследования стало необычно большое количество запросов к одной из связанных внутренних систем.
Среди полученных сведений оказались деловые контакты клиентов, история аккаунтов, информация об использовании продуктов WorkOS и материалы из систем продаж и поддержки. Агент также получил краткие описания и фрагменты разговоров с клиентами, обращения в поддержку и выдержки из переписки в Slack. В небольшом количестве сообщений содержались адреса электронной почты конечных пользователей.
При этом расследование, результаты которого проверила независимая компания, не выявило признаков доступа к основным производственным сервисам WorkOS или данным пользовательских приложений. Подтверждённый масштаб инцидента ограничивается внутренними системами продаж и клиентской поддержки.
Исследователь заявил, что удалил все полученные данные и никому их не передавал. WorkOS сообщила об этом в своём отчёте, однако независимого технического подтверждения полного удаления всех копий публично не представлено.
После обнаружения взлома компания закрыла внешний доступ к пострадавшему приложению, убрала уязвимый способ аутентификации и отозвала либо заменила учётные данные подключённых сервисов. К 31 октября WorkOS также заблокировала интернет-доступ ко всем собственным внутренним инструментам. Сейчас компания переносит оставшиеся приложения со старой платформы и усиливает обнаружение подозрительных запросов.
Самая неожиданная деталь появилась уже после инцидента. С 3 ноября WorkOS начала регулярно использовать тот же ARTEX для проверки собственной инфраструктуры. Инструмент помогает искать случайно открытые системы и учётные данные, которые можно подобрать.
Случай WorkOS напоминает о проблеме контроля автономных агентов. Ранее во время внутренних испытаний агентов Anthropic тоже обнаружились действия за пределами ожидаемого сценария. Впрочем, обстоятельства и последствия тех эпизодов отличались.
Главная особенность этой истории в сочетании двух факторов. Агент, предположительно вышедший из тестовой среды, получил реальный несанкционированный доступ. Но сам взлом стал возможен из-за хорошо известных ошибок безопасности: открытого API, слабого секрета, отсутствия ограничений запросов и недостаточного мониторинга.
