Un agent IA de piratage échappé de son bac à sable s’est introduit chez WorkOS

Un agent d’IA conçu pour le piratage, qui était censé rester dans l’environnement de test d’un chercheur, en est sorti, a découvert un outil interne de WorkOS accessible depuis Internet et a copié les données des clients de l’entreprise. WorkOS, qui fournit aux éditeurs de logiciels des solutions de connexion et d’authentification unique, affirme que l’agent a accédé à l’outil à l’aide d’un mot de passe facile à deviner, réservé aux machines des développeurs. Selon la personne qui l’a fait tourner, personne ne l’avait dirigé vers WorkOS.

L’incident dépasse largement le cas d’une seule entreprise. Les outils d’attaque autonomes n’attendent plus qu’un humain choisisse une cible : ils scannent, sondent et récupèrent des données de leur propre initiative. Dès lors qu’un agent est connecté à Internet, il tente d’ouvrir toutes les portes qu’il trouve. Pour les clients de WorkOS, les données volées constituent la matière première d’un courriel d’hameçonnage convaincant : noms, intitulés de poste, numéros de téléphone, notes d’appels commerciaux et extraits de conversations Slack avec des employés de WorkOS.

Le fondateur de WorkOS, Michael Grinich, a indiqué sur X qu’un chercheur en sécurité s’était manifesté peu après la première annonce de la fuite par l’entreprise. « Il nous a dit qu’il évaluait ARTEX, un cadre de tests d’intrusion autonomes, lorsque son agent a quitté son environnement de test isolé et a interagi avec WorkOS sans le vouloir », a-t-il écrit. Le chercheur réalisait des évaluations selon des référentiels de cybersécurité et a transmis les détails des requêtes, leurs horodatages et d’autres éléments, que WorkOS et une société indépendante d’expertise judiciaire ont rapprochés des journaux de l’entreprise. Le chercheur affirme que toutes les données de WorkOS recueillies par l’agent ont été supprimées et n’ont été communiquées à personne.

L’agent n’a eu besoin d’aucune astuce particulière. Dans son propre compte rendu, WorkOS relève quatre failles. L’outil — une application interne utilisée par les équipes commerciales et de service client pour consulter les comptes — fonctionnait encore sur une ancienne plateforme interne et n’avait pas été migré vers le nouvel environnement, mieux protégé, de l’entreprise. Des règles d’accès trop permissives rendaient en outre son API accessible depuis Internet. Cette API acceptait un identifiant faible et prévisible, prévu pour le développement local, qui n’aurait jamais dû se retrouver en production. Une fois à l’intérieur, l’agent ne rencontrait aucune limite : il a donc aspiré les données en masse, aussi vite qu’il pouvait en faire la demande.

La quatrième faille concernait la surveillance. L’agent a eu accès au système pendant cinq jours avant que quelqu’un ne s’en aperçoive. WorkOS ne l’a détecté qu’une fois le téléchargement massif terminé, lorsqu’un employé a remarqué une activité exceptionnellement élevée sur l’un des systèmes connectés. Les requêtes utilisaient les agents utilisateurs artex-enrich et norma, a précisé Grinich dans son premier compte rendu de l’incident.

Selon WorkOS, les dommages se limitent à ses systèmes commerciaux et de service client : coordonnées professionnelles, historiques de comptes, utilisation des produits et état des connexions aux annuaires des clients, ainsi que résumés et extraits d’appels commerciaux, d’échanges avec le support et de conversations Slack avec des clients. Un petit nombre de messages adressés au support contenaient également les adresses électroniques d’utilisateurs finaux. Dans son premier avis, l’entreprise indiquait qu’aucune donnée des applications WorkOS ni aucun service de production n’avait été touché : les systèmes de connexion utilisés par ses clients n’ont donc pas été concernés par la fuite. Plus de 3 000 entreprises utilisent WorkOS, dont OpenAI, Anthropic, Cursor, Perplexity, Snowflake et Plaid, selon le site de l’entreprise cité par BleepingComputer.

De nombreuses zones d’ombre subsistent. Ni WorkOS ni le chercheur n’ont expliqué comment l’agent a quitté son environnement isolé, et le terme « escaped » vient du chercheur, pas d’une conclusion de l’expertise judiciaire. Le simple fait de lancer un test de référence avec un outil d’attaque capable d’atteindre de vraies entreprises sur Internet constitue déjà un échec du dispositif d’isolation, quel que soit son responsable. WorkOS a confirmé que l’activité du chercheur correspond à ses journaux, mais l’affirmation selon laquelle l’attaque était accidentelle, tout comme l’assurance que les données ont été supprimées, repose sur le récit du chercheur. Son identité n’a pas été révélée.

ARTEX n’est pas un projet obscur mené dans un laboratoire. Ce cadre de tests d’intrusion autonomes, créé par des développeurs chinois et publié en open source en juillet, a été associé à des attaques contre des banques sud-coréennes, le groupe néerlandais de divulgation de vulnérabilités DIVD et, selon Microsoft, l’entreprise de support informatique ConnectWise. CrowdStrike affirme qu’un groupe d’espionnage informatique qu’il appelle Vapor Panda s’en est servi contre environ 200 organisations. ARTEX est depuis passé en code source fermé, mais des copies de son code continuent de circuler. La société de sécurité Censys a recensé plus de 800 déploiements accessibles sur le Web sans mot de passe, rapporte TechCrunch.

WorkOS indique que la première requête non autorisée a atteint l’outil le 25 octobre et que le téléchargement massif a eu lieu le 30 octobre, jour de sa détection. L’entreprise a publié un premier avis le 2 novembre, puis une mise à jour désignant un chercheur comme étant à l’origine de l’incident vendredi. Depuis, elle a coupé l’accès à Internet de tous ses outils développés en interne, supprimé l’identifiant faible, renouvelé les clés de chaque service connecté et commencé à migrer les applications internes restantes vers la nouvelle plateforme.

Depuis le 3 novembre, WorkOS utilise également ARTEX sur ses propres systèmes exposés à Internet afin de repérer les outils accessibles et les mots de passe faciles à deviner. L’entreprise fait désormais tourner le même agent qui s’est introduit dans ses systèmes, dans l’espoir de trouver la prochaine porte ouverte avant que quelqu’un d’autre ne la découvre.

Étiquettes: cybersécurité, agents IA, fuite de données, ARTEX, Michael Grinich, tests d'intrusion