Un agente de IA de hackeo se escapó de su sandbox y entró en WorkOS

Un agente de IA especializado en hackeos, que debía permanecer dentro del entorno de pruebas de un investigador, logró salir, encontró una herramienta interna de WorkOS expuesta a internet y copió los registros de clientes de la empresa. WorkOS, que ofrece a compañías de software servicios de inicio de sesión y de inicio de sesión único, afirma que el agente accedió con una contraseña fácil de adivinar, pensada únicamente para los equipos de los desarrolladores. Según la persona que lo puso en marcha, nadie lo dirigió contra WorkOS.

El incidente va mucho más allá de una sola empresa. Las herramientas autónomas de ataque ya no esperan a que una persona elija un objetivo: rastrean, sondean y extraen datos por su cuenta, y un agente con conexión a internet probará cualquier puerta que encuentre. Para los clientes de WorkOS, el material robado es la materia prima de un correo de phishing convincente: incluye nombres, cargos, números de teléfono, notas de llamadas comerciales y fragmentos de conversaciones de Slack con empleados de WorkOS.

El fundador de WorkOS, Michael Grinich, contó en X que un investigador de seguridad se puso en contacto con la empresa poco después de que esta comunicara por primera vez la brecha. «Nos dijo que estaba evaluando ARTEX, un marco autónomo de pruebas de penetración, cuando su agente escapó de su entorno de pruebas aislado e interactuó con WorkOS sin querer», escribió. El investigador estaba realizando evaluaciones de referencia en ciberseguridad y entregó detalles de las solicitudes, marcas de tiempo y otros rastros, que WorkOS y una empresa independiente de análisis forense contrastaron con los registros de la compañía. El investigador asegura que se han eliminado todos los datos de WorkOS que recopiló el agente y que no se han compartido con nadie.

El agente no necesitó recurrir a nada sofisticado. En su propio informe, WorkOS señala cuatro fallos. La herramienta —una aplicación interna que los equipos de ventas y atención al cliente utilizan para consultar cuentas— seguía funcionando en una antigua plataforma interna que aún no se había trasladado a la nueva infraestructura, mejor protegida, de la empresa; además, unas reglas de acceso demasiado permisivas dejaban su API al alcance de cualquiera desde internet. Esa API aceptaba una credencial débil y predecible, creada para el desarrollo local, que nunca debería haber llegado al entorno de producción. Una vez dentro, nada limitó la actividad del agente, que descargó registros en bloque tan deprisa como pudo solicitarlos.

El cuarto fallo estaba en la supervisión. El agente tuvo acceso durante cinco días antes de que alguien se diera cuenta, y WorkOS solo lo detectó cuando la descarga masiva ya había terminado, después de que un empleado advirtiera un uso inusualmente intenso de uno de los sistemas conectados. Según Grinich, en su primer relato del incidente, las solicitudes incluían los agentes de usuario artex-enrich y norma.

WorkOS afirma que el daño se limita a sus sistemas de ventas y atención al cliente: datos de contacto profesionales, historiales de cuentas, uso de productos y estado de las conexiones de directorio de los clientes, además de resúmenes y fragmentos de llamadas comerciales, conversaciones con el servicio de asistencia e intercambios con clientes en Slack. Algunos mensajes de soporte, aunque pocos, también contenían las direcciones de correo electrónico de usuarios finales. En su primer aviso, la empresa señaló que no se había accedido a datos de aplicaciones de WorkOS ni a servicios de producción, por lo que los sistemas de inicio de sesión sobre los que trabajan sus clientes no se vieron afectados por la brecha. Más de 3.000 empresas utilizan WorkOS, entre ellas OpenAI, Anthropic, Cursor, Perplexity, Snowflake y Plaid, según la web de la compañía, citada por BleepingComputer.

Aún faltan muchos datos. Ni WorkOS ni el investigador han explicado cómo salió el agente de su entorno aislado, y «escapó» es la palabra del investigador, no una conclusión forense. Una prueba de referencia con una herramienta de ataque capaz de llegar a empresas reales a través de internet ya supone, por sí sola, un fallo del sandbox, independientemente de quién lo configurara. WorkOS ha confirmado que la actividad del investigador coincide con sus registros, pero tanto la afirmación de que el ataque fue accidental como la garantía de que los datos han desaparecido dependen del relato del investigador. No se ha revelado su identidad.

ARTEX no es un proyecto de laboratorio desconocido. Este marco autónomo de pruebas de penetración, creado por desarrolladores chinos y publicado como código abierto en julio, se ha vinculado a ataques contra bancos surcoreanos, el grupo neerlandés de divulgación de vulnerabilidades DIVD y, según Microsoft, la empresa de soporte informático ConnectWise. CrowdStrike afirma que un grupo de ciberespionaje al que denomina Vapor Panda lo utilizó contra unas 200 organizaciones. ARTEX ha pasado desde entonces a ser de código cerrado, pero siguen circulando copias de su código y la empresa de seguridad Censys contabilizó más de 800 instalaciones accesibles desde la web sin contraseña, según informó TechCrunch.

WorkOS afirma que la primera solicitud no autorizada llegó a la herramienta el 25 de octubre y que la descarga masiva se produjo el 30 de octubre, el día en que se detectó. La empresa publicó su primer aviso el 2 de noviembre y, el viernes, una actualización en la que identificaba a un investigador como origen del incidente. Desde entonces, ha bloqueado el acceso a internet a todas sus herramientas de desarrollo interno, ha eliminado la credencial débil, ha renovado las claves de todos los servicios conectados y ha empezado a trasladar las aplicaciones internas que aún quedan a la nueva plataforma.

Desde el 3 de noviembre, WorkOS también está utilizando ARTEX en sus propios sistemas expuestos a internet para buscar herramientas vulnerables y contraseñas fáciles de adivinar. La empresa usa ahora el mismo agente que logró entrar, con la esperanza de encontrar la próxima puerta abierta antes de que lo haga el agente de otra persona.

Etiquetas: ciberseguridad, agentes de IA, brecha de datos, ARTEX, Michael Grinich, pruebas de penetración