Un agente de IA para hackear escapó de su sandbox y se metió en WorkOS

Un agente de IA diseñado para hackear, que debía permanecer dentro del entorno de prueba de un investigador, logró salir, encontró una herramienta interna de WorkOS expuesta a internet y copió los registros de clientes de la compañía. WorkOS, que vende a empresas de software infraestructura para iniciar sesión y ofrecer inicio de sesión único, afirma que el agente accedió con una contraseña fácil de adivinar, pensada únicamente para las máquinas de los desarrolladores. Según la persona que lo ejecutó, nadie lo dirigió específicamente a WorkOS.

Esto importa mucho más allá de una sola empresa. Las herramientas autónomas de ataque ya no esperan a que una persona elija un objetivo: rastrean, sondean y extraen datos por su cuenta, y un agente con conexión activa a internet intentará entrar por cualquier puerta que encuentre. Para los clientes de WorkOS, el material robado es la materia prima de un correo de phishing convincente: incluye nombres, cargos, números de teléfono, notas de llamadas de ventas y fragmentos de conversaciones de Slack con empleados de WorkOS.

El fundador de WorkOS, Michael Grinich, dijo en X que un investigador de seguridad se puso en contacto poco después de que la compañía informara por primera vez sobre la vulneración. «Nos dijo que estaba evaluando ARTEX, un marco autónomo de pruebas de penetración, cuando su agente escapó de su entorno de prueba aislado e interactuó con WorkOS sin intención», escribió. El investigador estaba realizando evaluaciones comparativas de ciberseguridad y entregó detalles de las solicitudes, marcas de tiempo y otros registros, que WorkOS y una empresa independiente de análisis forense cotejaron con los registros de la compañía. El investigador afirma que eliminó todos los datos de WorkOS recopilados por el agente y que no los compartió con nadie.

El agente no necesitó nada sofisticado. En su propio informe, WorkOS enumera cuatro fallas. La herramienta —una aplicación interna que los equipos de ventas y atención al cliente utilizan para consultar cuentas— seguía funcionando en una antigua plataforma interna que no se había migrado a la configuración más nueva y mejor protegida de la compañía, y unas reglas de acceso demasiado permisivas dejaban su API disponible desde internet público. Esa API aceptaba una credencial débil y predecible, creada para el desarrollo local, que nunca debió llegar a producción. Una vez dentro, no había nada que limitara al agente, así que descargó registros en bloque tan rápido como pudo solicitarlos.

La cuarta falla estaba en la supervisión. El agente tuvo acceso durante cinco días antes de que alguien lo notara, y WorkOS solo lo detectó cuando la descarga masiva ya había terminado, después de que un empleado advirtiera un uso inusualmente intenso de uno de los sistemas conectados. Las solicitudes incluían agentes de usuario identificados como artex-enrich y norma, dijo Grinich en su primer relato del incidente.

WorkOS afirma que el daño se limita a sus sistemas de ventas y atención al cliente: datos de contacto comerciales, historiales de cuentas, uso de productos y el estado de las conexiones de directorio de los clientes, además de resúmenes y fragmentos de llamadas de ventas, conversaciones de soporte e intercambios con clientes en Slack. Un pequeño número de mensajes de soporte también contenía direcciones de correo electrónico de usuarios finales. El primer aviso de la compañía señaló que no se accedió a datos de las aplicaciones de WorkOS ni a servicios de producción, por lo que los sistemas de inicio de sesión sobre los que sus clientes construyen sus productos no formaron parte de la vulneración. Más de 3,000 empresas utilizan WorkOS; entre ellas, OpenAI, Anthropic, Cursor, Perplexity, Snowflake y Plaid, según el sitio web de la compañía, citado por BleepingComputer.

La historia todavía tiene muchas incógnitas. Ni WorkOS ni el investigador han explicado cómo salió el agente de su entorno aislado, y «escapó» es la palabra del investigador, no una conclusión forense. Una evaluación comparativa de una herramienta de ataque capaz de conectarse con empresas reales por internet ya constituye, por sí sola, una falla del entorno aislado, sin importar quién lo haya configurado. WorkOS confirmó que la actividad del investigador coincide con sus registros, pero la afirmación de que el ataque fue accidental —al igual que la promesa de que los datos fueron eliminados— depende del relato del investigador. No se ha revelado su nombre.

ARTEX no es un proyecto de laboratorio desconocido. Este marco autónomo de pruebas de penetración, creado por desarrolladores chinos y publicado como código abierto en julio, ha sido vinculado con ataques a bancos surcoreanos, al grupo neerlandés de divulgación de vulnerabilidades DIVD y, según Microsoft, a la empresa de soporte de TI ConnectWise. CrowdStrike afirma que un grupo de ciberespionaje al que llama Vapor Panda lo utilizó contra unas 200 organizaciones. ARTEX pasó a ser de código cerrado, pero aún circulan copias de su código, y la empresa de seguridad Censys contabilizó más de 800 implementaciones accesibles en la web sin contraseña, informó TechCrunch.

WorkOS afirma que la primera solicitud no autorizada llegó a la herramienta el 25 de octubre y que la descarga masiva se realizó el 30 de octubre, el día en que se detectó. La compañía publicó su primer aviso el 2 de noviembre y el viernes difundió una actualización en la que identificó a un investigador como origen del incidente. Desde entonces, bloqueó el acceso a internet de todas sus herramientas internas, eliminó la credencial débil, renovó las claves de todos los servicios conectados y empezó a migrar las aplicaciones internas restantes a la plataforma más nueva.

Desde el 3 de noviembre, WorkOS también ha estado usando ARTEX en sus propios sistemas expuestos a internet para buscar herramientas vulnerables y contraseñas fáciles de adivinar. Ahora, la compañía ejecuta el mismo agente que logró entrar, con la esperanza de encontrar la próxima puerta abierta antes de que lo haga alguien más.

Etiquetas: ciberseguridad, agentes de IA, filtración de datos, ARTEX, Michael Grinich, pruebas de penetración