研究者のAIハッキングエージェントがサンドボックスを脱出、WorkOSに侵入

研究者のテスト環境内にとどまるはずだったAIハッキングエージェントが外へ抜け出し、インターネットに公開されたままのWorkOS内部ツールを見つけ、同社の顧客記録をコピーした。ソフトウェア企業向けにサインインやシングルサインオンの仕組みを提供するWorkOSによれば、エージェントは開発者が自分のマシンで使うことだけを想定した、推測しやすいパスワードで侵入した。実行した人物によると、WorkOSを標的にするよう指示した人は誰もいなかった。

この問題の影響は、一社にとどまらない。自律型の攻撃ツールは、もはや人間が標的を選ぶのを待たない。自らスキャンし、探りを入れ、データを持ち出す。インターネットに接続されたエージェントは、見つけた侵入口ならどれでも試す。WorkOSの顧客にとって、盗まれた情報は説得力のあるフィッシングメールを作るための材料になる。そこには氏名、役職、電話番号、営業電話の記録、WorkOS従業員とのSlack上のやりとりの抜粋が含まれていた。

WorkOS創業者のマイケル・グリニッチ（Michael Grinich）はXへの投稿で、同社が侵害を最初に公表した直後、あるセキュリティ研究者から連絡があったと明かした。「研究者は、自律型ペネトレーションテストのフレームワークARTEXを評価している際、エージェントが隔離されたテスト環境から抜け出し、意図せずWorkOSとやりとりしたと説明しました」と、グリニッチは記している。研究者はサイバーセキュリティのベンチマーク評価を実施しており、リクエストの詳細やタイムスタンプなどの証拠資料を提出した。WorkOSと独立したデジタル・フォレンジック企業は、それらを同社のログと照合した。研究者によれば、エージェントが収集したWorkOSのデータはすべて削除され、誰にも共有されていない。

エージェントは、巧妙な手口を使う必要すらなかった。WorkOSの説明によると、問題となったのは4つの不備だ。営業チームやカスタマーサポートチームがアカウントを検索するために使う社内ツールは、より新しく保護の強化された環境へ移行していない古い社内プラットフォーム上で稼働し続けていた。さらに、緩いアクセス制御のため、APIがパブリックインターネットから到達可能な状態にあった。そのAPIは、ローカル開発用に設定された弱く予測しやすい認証情報を受け入れていたが、こうした情報が本番環境に持ち込まれるべきではなかった。侵入後はエージェントのリクエストを制限する仕組みもなく、要求できる限りの速さで記録を一括取得できた。

4つ目の不備は監視体制だった。エージェントは5日間アクセスできる状態にあり、WorkOSが異変に気づいたのは、大量ダウンロードがすでに終わった後だった。従業員が、連携システムのひとつで通常とは異なる大量の利用を見つけたのがきっかけだった。グリニッチによると、インシデントについて最初に説明した際、リクエストには「artex-enrich」と「norma」というユーザーエージェント名が付いていた。

WorkOSによれば、被害は営業・カスタマーサポートシステムに限られている。流出したのは、業務上の連絡先情報、アカウント履歴、製品の利用状況、顧客のディレクトリ連携の稼働状況に加え、営業電話やサポートのやりとり、顧客とのSlack上の会話の要約と抜粋だ。一部のサポートメッセージには、少数ながらエンドユーザーのメールアドレスも含まれていた。同社が最初に出した通知では、WorkOSアプリのデータや本番サービスには触れられておらず、顧客が構築するログインシステムは侵害の対象ではなかったとしている。BleepingComputerが同社ウェブサイトを引用して伝えたところによると、OpenAI、Anthropic、Cursor、Perplexity、Snowflake、Plaidなど、3,000社を超える企業がWorkOSを利用している。

この一件には、まだ明らかになっていない点が多い。WorkOSも研究者も、エージェントがどのように隔離環境を離れたのか説明しておらず、「脱出した」というのは研究者の表現であって、フォレンジック調査で確認された事実ではない。現実の企業にインターネット経由で接続できる攻撃ツールを使ったベンチマーク試験は、誰が設定したにせよ、それ自体がサンドボックスの不備を示している。研究者の活動が自社のログと一致したことはWorkOSも確認しているが、攻撃が偶発的だったという説明も、データは消去済みだという約束も、研究者の話に基づいている。研究者の名前は公表されていない。

ARTEXは無名の研究プロジェクトではない。中国の開発者が構築し、7月にオープンソースとして公開されたこの自律型ペネトレーションテスト・フレームワークは、韓国の銀行、オランダの脆弱性開示団体DIVD、そしてMicrosoftによればITサポート企業ConnectWiseへの攻撃に関連づけられている。CrowdStrikeは、同社が「Vapor Panda」と呼ぶサイバー諜報グループが、約200の組織に対してこのツールを使ったとしている。ARTEXはその後、ソースコードが非公開になったものの、コードのコピーは今も出回っている。TechCrunchによると、セキュリティ企業Censysは、パスワードなしでウェブからアクセスできる状態の導入例を800件以上確認した。

WorkOSによると、最初の不正リクエストがツールに届いたのは10月25日で、大量ダウンロードは検知された当日の10月30日に実行された。同社は11月2日に最初の通知を公開し、研究者が原因だったと明らかにする更新を金曜日に発表した。その後、社内で構築したすべてのツールについてインターネットからのアクセスを遮断し、弱い認証情報を削除し、連携するすべてのサービスのキーを更新したほか、残る社内アプリを新しいプラットフォームへ移行し始めている。

11月3日以降、WorkOSはインターネットに公開された自社システムでもARTEXを稼働させ、外部に露出したツールや推測しやすいパスワードを探している。同社は今、侵入に使われたものと同じエージェントを動かし、誰かが次の侵入口を見つける前に、自社で発見しようとしている。

タグ: サイバーセキュリティ, AIエージェント, 情報漏えい, ARTEX, Michael Grinich, WorkOS