Agente de IA hacker de um pesquisador escapou do sandbox e invadiu a WorkOS

Um agente de IA criado para invadir sistemas, que deveria permanecer no ambiente de testes de um pesquisador, escapou, encontrou uma ferramenta interna da WorkOS exposta à internet e copiou os registros de clientes da empresa. A WorkOS, que vende soluções de login e autenticação única para empresas de software, afirma que o agente entrou usando uma senha fácil de adivinhar, destinada apenas às máquinas dos próprios desenvolvedores. Segundo a pessoa que o executou, ninguém o direcionou à WorkOS.

O caso vai muito além de uma única empresa. Ferramentas autônomas de ataque já não esperam que uma pessoa escolha um alvo: elas vasculham sistemas, testam brechas e extraem dados por conta própria. Um agente com acesso à internet tentará qualquer porta que encontrar. Para os clientes da WorkOS, o material roubado é a matéria-prima de um e-mail de phishing convincente: inclui nomes, cargos, números de telefone, anotações de ligações de vendas e trechos de conversas no Slack com funcionários da WorkOS.

O fundador da WorkOS, Michael Grinich, escreveu no X que um pesquisador de segurança entrou em contato pouco depois de a empresa divulgar o vazamento pela primeira vez. “Ele nos contou que estava avaliando o ARTEX, uma estrutura autônoma para testes de invasão, quando seu agente escapou do ambiente isolado de testes e interagiu com a WorkOS sem intenção”, escreveu. O pesquisador realizava avaliações de referência em cibersegurança e entregou detalhes das solicitações, registros de horário e outros dados, que a WorkOS e uma empresa independente de perícia digital compararam com os logs da companhia. O pesquisador afirma que todos os dados da WorkOS coletados pelo agente foram apagados e não foram compartilhados com ninguém.

O agente não precisou fazer nada sofisticado. Em seu próprio relato, a WorkOS aponta quatro falhas. A ferramenta — um aplicativo interno usado pelas equipes de vendas e atendimento ao cliente para consultar contas — ainda funcionava em uma plataforma interna antiga, que não havia sido migrada para a configuração mais recente e mais protegida da empresa. Além disso, regras de acesso permissivas deixavam sua API acessível pela internet pública. A API aceitava uma credencial fraca e previsível, criada para o desenvolvimento local, que jamais deveria ter chegado ao ambiente de produção. Depois de entrar, o agente não encontrou nenhum limite: baixou registros em massa, na velocidade máxima permitida pelas próprias solicitações.

A quarta falha estava no monitoramento. O agente teve acesso durante cinco dias antes que alguém percebesse, e a WorkOS só o detectou depois que o download em massa já havia terminado, quando um funcionário notou um volume de uso incomumente alto em um dos sistemas conectados. As solicitações usavam agentes de usuário identificados como artex-enrich e norma, afirmou Grinich em seu primeiro relato do incidente.

A WorkOS afirma que os danos ficaram restritos aos sistemas de vendas e atendimento ao cliente: dados de contato profissional, históricos de contas, uso dos produtos e estado das conexões de diretório dos clientes, além de resumos e trechos de ligações de vendas, conversas de suporte e conversas de clientes no Slack. Um pequeno número de mensagens de suporte também continha endereços de e-mail de usuários finais. O primeiro comunicado da empresa dizia que nenhum dado dos aplicativos da WorkOS nem serviço de produção havia sido afetado; portanto, os sistemas de login usados pelos clientes da companhia não fizeram parte do vazamento. Mais de 3 mil empresas usam a WorkOS, entre elas OpenAI, Anthropic, Cursor, Perplexity, Snowflake e Plaid, segundo o site da empresa, conforme citado pelo BleepingComputer.

Muitos detalhes da história ainda não foram esclarecidos. Nem a WorkOS nem o pesquisador explicaram como o agente deixou o ambiente isolado, e “escapou” é a palavra usada pelo pesquisador, não uma conclusão pericial. Uma avaliação de referência com uma ferramenta de ataque capaz de alcançar empresas reais pela internet já representa, por si só, uma falha no isolamento, independentemente de quem a tenha configurado. A WorkOS confirmou que a atividade do pesquisador corresponde aos próprios logs, mas a afirmação de que o ataque foi acidental — assim como a garantia de que os dados foram apagados — depende do relato do pesquisador. O nome dele não foi divulgado.

O ARTEX não é um projeto obscuro de laboratório. A estrutura autônoma para testes de invasão, criada por desenvolvedores chineses e lançada como código aberto em julho, foi associada a ataques contra bancos sul-coreanos, o grupo holandês de divulgação de vulnerabilidades DIVD e, segundo a Microsoft, a empresa de suporte de TI ConnectWise. A CrowdStrike afirma que um grupo de ciberespionagem que chama de Vapor Panda usou a ferramenta contra cerca de 200 organizações. Desde então, o ARTEX deixou de ser de código aberto, mas cópias de seu código continuam circulando. A empresa de segurança Censys contabilizou mais de 800 instalações acessíveis pela internet sem senha, informou o TechCrunch.

A WorkOS afirma que a primeira solicitação não autorizada chegou à ferramenta em 25 de outubro e que o download em massa ocorreu em 30 de outubro, mesmo dia em que foi detectado. A empresa publicou o primeiro comunicado em 2 de novembro e, na sexta-feira, divulgou uma atualização que identificou um pesquisador como responsável pela atividade. Desde então, bloqueou o acesso à internet de todas as ferramentas desenvolvidas internamente, removeu a credencial fraca, trocou as chaves de todos os serviços conectados e começou a migrar os aplicativos internos restantes para a plataforma mais recente.

Desde 3 de novembro, a WorkOS também vem usando o ARTEX contra os próprios sistemas expostos à internet para procurar ferramentas vulneráveis e senhas fáceis de adivinhar. Agora, a empresa opera o mesmo agente que invadiu seus sistemas, na esperança de encontrar a próxima porta aberta antes que outra pessoa a encontre.

Tags: cibersegurança, agentes de IA, vazamento de dados, ARTEX, Michael Grinich, testes de invasão