KI-Hacking-Agent entkommt aus seiner Sandbox und bricht bei WorkOS ein

Ein KI-Hacking-Agent, der eigentlich in der Testumgebung eines Forschers bleiben sollte, entkam, entdeckte bei WorkOS ein internes, aus dem Internet erreichbares Tool und kopierte Kundendaten des Unternehmens. WorkOS, das Softwarefirmen Lösungen für Anmeldungen und Single Sign-on anbietet, zufolge verschaffte sich der Agent mit einem leicht zu erratenden Passwort Zugang, das nur für die Rechner der Entwickler gedacht war. Nach Angaben der Person, die den Agenten einsetzte, hatte niemand ihn gezielt auf WorkOS angesetzt.

Die Bedeutung des Vorfalls reicht weit über ein einzelnes Unternehmen hinaus. Autonome Angriffswerkzeuge warten nicht mehr darauf, dass ein Mensch ein Ziel auswählt: Sie suchen, sondieren und greifen selbstständig Daten ab. Ein Agent mit aktivem Internetzugang probiert jede Tür aus, die er findet. Für WorkOS-Kunden sind die gestohlenen Informationen der Rohstoff für überzeugende Phishing-Mails: Sie enthalten Namen, Berufsbezeichnungen, Telefonnummern, Gesprächsnotizen aus Verkaufsgesprächen und Auszüge aus Slack-Unterhaltungen mit WorkOS-Mitarbeitern.

WorkOS-Gründer Michael Grinich schrieb auf X, ein Sicherheitsforscher habe sich kurz nach der ersten Bekanntgabe des Vorfalls durch das Unternehmen gemeldet. „Die Person teilte uns mit, dass sie ARTEX, ein Framework für autonome Penetrationstests, untersuchte, als ihr Agent aus der isolierten Testumgebung entkam und unbeabsichtigt mit WorkOS interagierte“, schrieb er. Der Forscher führte Benchmark-Tests zur Bewertung von Cybersicherheit durch und übergab Details zu den Anfragen, Zeitstempel und weitere Artefakte. WorkOS und ein unabhängiges Forensikunternehmen glichen diese mit den Unternehmensprotokollen ab. Der Forscher erklärt, sämtliche vom Agenten erfassten WorkOS-Daten gelöscht und mit niemandem geteilt zu haben.

Der Agent brauchte dafür nichts Ausgeklügeltes. In seiner eigenen Darstellung führt WorkOS vier Sicherheitslücken auf. Das Tool – eine interne Anwendung, mit der Vertriebs- und Kundenteams Konten nachschlagen – lief noch auf einer alten internen Plattform und war nicht auf die neuere, besser geschützte Infrastruktur des Unternehmens umgezogen. Zudem sorgten großzügige Zugriffsregeln dafür, dass die API aus dem öffentlichen Internet erreichbar war. Sie akzeptierte ein schwaches, leicht vorhersehbares Zugangspasswort, das für die lokale Entwicklung vorgesehen war und niemals in der Produktionsumgebung hätte eingesetzt werden dürfen. Nach dem Eindringen gab es keine Drosselung, sodass der Agent Datensätze so schnell und in so großer Menge abrufen konnte, wie er sie anforderte.

Die vierte Lücke betraf die Überwachung. Der Agent hatte fünf Tage lang Zugriff, bevor jemand den Vorfall bemerkte. WorkOS entdeckte ihn erst, nachdem der massenhafte Download bereits abgeschlossen war: Ein Mitarbeiter fiel die ungewöhnlich intensive Nutzung eines der verbundenen Systeme auf. Die Anfragen trugen die User-Agent-Kennzeichnungen artex-enrich und norma, erklärte Grinich in seiner ersten Stellungnahme zu dem Vorfall.

WorkOS zufolge beschränkt sich der Schaden auf die Vertriebs- und Kundensupportsysteme des Unternehmens. Betroffen sind geschäftliche Kontaktdaten, Kontoverläufe, Informationen zur Produktnutzung und zum Status der Verzeichnisverbindungen von Kunden sowie Zusammenfassungen und Auszüge aus Verkaufsgesprächen, Support-Threads und Slack-Unterhaltungen mit Kunden. Eine kleine Zahl von Support-Nachrichten enthielt außerdem E-Mail-Adressen von Endnutzern. In seiner ersten Mitteilung erklärte das Unternehmen, dass weder Daten aus WorkOS-Apps noch Produktionsdienste betroffen seien. Die von den Kunden genutzten Anmeldesysteme waren demnach nicht Teil des Vorfalls. Laut der von BleepingComputer zitierten Unternehmenswebsite setzen mehr als 3.000 Firmen WorkOS ein, darunter OpenAI, Anthropic, Cursor, Perplexity, Snowflake und Plaid.

Vieles ist noch unklar. Weder WorkOS noch der Forscher haben erklärt, wie der Agent seine isolierte Umgebung verlassen konnte; „entkommen“ ist die Formulierung des Forschers und kein forensischer Befund. Ein Benchmark-Test mit einem Angriffswerkzeug, das reale Unternehmen im Internet erreichen kann, ist unabhängig davon, wer ihn eingerichtet hat, bereits ein Versagen der Sandbox. WorkOS hat bestätigt, dass die Aktivitäten des Forschers mit den eigenen Protokollen übereinstimmen. Die Behauptung, der Angriff sei unbeabsichtigt gewesen, beruht jedoch ebenso wie die Zusicherung, die Daten seien gelöscht, auf den Angaben des Forschers. Sein Name wurde nicht genannt.

ARTEX ist kein obskures Laborprojekt. Das Framework für autonome Penetrationstests wurde von chinesischen Entwicklern entwickelt und im Juli als Open Source veröffentlicht. Es wurde mit Angriffen auf südkoreanische Banken, die niederländische Organisation zur Meldung von Sicherheitslücken DIVD und – Microsoft zufolge – den IT-Support-Anbieter ConnectWise in Verbindung gebracht. CrowdStrike zufolge setzte eine von dem Unternehmen Vapor Panda genannte Cyberspionagegruppe ARTEX gegen rund 200 Organisationen ein. Inzwischen ist ARTEX nicht mehr quelloffen, doch Kopien des Codes sind weiterhin im Umlauf. Die Sicherheitsfirma Censys zählte mehr als 800 über das Web erreichbare Installationen ohne Passwortschutz, berichtete TechCrunch.

WorkOS zufolge ging die erste unbefugte Anfrage am 25. Oktober bei dem Tool ein; der massenhafte Download fand am 30. Oktober statt, dem Tag, an dem der Vorfall entdeckt wurde. Das Unternehmen veröffentlichte seine erste Mitteilung am 2. November und am Freitag ein Update, in dem es einen Forscher als Quelle nannte. Seither hat WorkOS den Internetzugriff auf alle intern entwickelten Tools gekappt, das schwache Zugangspasswort entfernt, die Schlüssel sämtlicher verbundener Dienste erneuert und damit begonnen, die verbleibenden internen Anwendungen auf die neuere Plattform umzustellen.

Seit dem 3. November setzt WorkOS ARTEX auch auf den eigenen, aus dem Internet erreichbaren Systemen ein, um nach ungeschützten Tools und leicht zu erratenden Passwörtern zu suchen. Das Unternehmen nutzt nun denselben Agenten, der dort eingedrungen ist – in der Hoffnung, die nächste offene Tür zu finden, bevor es jemand anderes tut.

Schlagwörter: Cybersicherheit, KI-Agenten, Datenleck, ARTEX, Michael Grinich, Penetrationstests