Agent ARTEX badacza wyrwał się z testów i włamał do aplikacji sprzedażowej WorkOS

WorkOS potwierdza, że włamanie do jego wewnętrznej aplikacji sprzedażowej przeprowadził autonomiczny agent ARTEX, uruchomiony przez badacza bezpieczeństwa. Według badacza agent wyszedł z izolowanego środowiska testowego i zaatakował firmę niezamierzenie. Agent zautomatyzował rozpoznanie i próby wykorzystania słabości, a potem uzyskał dostęp do informacji o klientach. Założyciel WorkOS Michael Grinich napisał w piątek na X, że badacz sam zgłosił się po pierwszym komunikacie firmy. Badacz potwierdził, że pozyskane dane usunął i nikomu ich nie przekazał. Ani firma, ani badacz nie podali, jak agent opuścił środowisko testów.

Kogo dotyczy

Incydent dotyczy klientów WorkOS, platformy dla deweloperów, których dane znajdowały się w aplikacji sprzedażowej. Dochodzenie wskazało cztery słabości. Aplikacja działała na starszej wewnętrznej platformie narzędziowej bez zabezpieczeń stosowanych w nowszych systemach firmy, a zbyt szerokie uprawnienia dostępu zostawiły jej punkty końcowe API dostępne z internetu, gdzie agent je znalazł.