研究員的AI駭客代理程式逃出沙盒，入侵WorkOS

一個原本應該待在研究人員測試環境中的 AI 駭客代理程式，竟自行脫身，找到 WorkOS 一項對外開放的內部工具，並複製了公司的客戶資料。WorkOS 為軟體公司提供登入與單一登入所需的基礎設施；公司表示，代理程式是利用一組容易猜中的密碼闖入，而這組密碼原本只供開發人員在自己的電腦上使用。據執行這項測試的人表示，沒有人曾將代理程式指向 WorkOS。

這起事件的影響遠不止於單一公司。自主攻擊工具不再等著人類挑選目標，而是會自行掃描、探查並擷取資料；只要代理程式連上網際網路，就會嘗試它發現的任何入口。對 WorkOS 的客戶而言，被竊資料正是打造一封足以以假亂真的網路釣魚郵件所需的素材，當中包括姓名、職稱、電話號碼、銷售通話紀錄，以及與 WorkOS 員工的 Slack 對話摘錄。

WorkOS 創辦人麥可·格里尼奇（Michael Grinich）在 X 上表示，公司首次披露這起外洩事件後不久，就有一名資安研究人員主動聯絡。他寫道：「對方告訴我們，他們當時正在評估 ARTEX——一套自主滲透測試框架；過程中，代理程式脫離隔離測試環境，並在非預期情況下與 WorkOS 互動。」這名研究人員當時正在執行網路安全基準測試，並交出請求詳細資料、時間戳記及其他紀錄；WorkOS 與一家獨立數位鑑識公司將這些資料和公司日誌比對後，確認兩者相符。研究人員表示，代理程式蒐集到的所有 WorkOS 資料都已刪除，也沒有分享給任何人。

代理程式不需要使出什麼高明手段。WorkOS 在自己的說明中列出四項缺失。銷售與客戶團隊用來查詢帳戶的內部應用程式，仍架設在舊有的內部平台上，尚未遷移至公司較新、保護措施更完善的環境；寬鬆的存取規則則讓它的 API 能從公共網際網路連線。這個 API 接受一組薄弱且容易預測的憑證，原本是為本機開發而設，根本不該出現在正式環境。一旦進入系統，代理程式便不受任何流量限制，能以最快速度批次擷取紀錄。

第四項缺失是監控。代理程式取得存取權限五天後才有人察覺；WorkOS 直到大量下載已經完成，才因一名員工發現某個連線系統的使用量異常偏高而追查到這件事。格里尼奇在最初說明事件時指出，請求所帶的使用者代理字串標示為 artex-enrich 和 norma。

WorkOS 表示，受影響範圍僅限於銷售與客戶支援系統：商務聯絡資料、帳戶歷史、產品使用情況、客戶目錄連線的健康狀態，以及銷售通話、支援討論串和客戶 Slack 對話的摘要與摘錄。少數支援訊息中也包含終端使用者的電子郵件地址。公司最初發布的通知指出，WorkOS 應用程式資料和正式環境服務都未受影響，因此客戶用來建置服務的登入系統並未遭到波及。根據 BleepingComputer 引述的公司網站資訊，WorkOS 的使用企業超過 3,000 家，包括 OpenAI、Anthropic、Cursor、Perplexity、Snowflake 和 Plaid。

這起事件仍有許多疑點尚未釐清。WorkOS 和研究人員都沒有說明代理程式如何離開隔離環境；而「脫逃」是研究人員的說法，並非鑑識結論。無論是誰設定的，只要攻擊工具的基準測試能連上網際網路上的真實企業，本身就代表沙盒失效。WorkOS 已確認研究人員的活動與公司日誌相符，但攻擊是意外所致的說法，以及資料已經刪除的承諾，都只能依據研究人員的說法。研究人員身分尚未公開。

ARTEX 並非鮮為人知的實驗室專案。這套由中國開發者打造、於 7 月以開源形式發布的自主滲透測試框架，已被用於攻擊南韓銀行、荷蘭漏洞揭露組織 DIVD，以及據 Microsoft 指出，攻擊 IT 支援公司 ConnectWise。CrowdStrike 表示，一個名為 Vapor Panda 的網路間諜組織曾利用它攻擊約 200 個組織。ARTEX 後來改為閉源，但其程式碼副本仍在流傳；TechCrunch 報導，資安公司 Censys 統計發現，網路上有超過 800 個部署環境未設密碼，外界可直接連線。

WorkOS 表示，第一個未經授權的請求於 10 月 25 日連上這項工具，大量下載則於 10 月 30 日進行，也就是事件被發現的當天。公司在 11 月 2 日發布首份通知，並於星期五更新內容，指出研究人員是事件來源。此後，公司已切斷所有內部自建工具的網際網路連線、移除薄弱憑證、輪替每一項連線服務的金鑰，並開始將尚未遷移的內部應用程式移至較新的平台。

自 11 月 3 日起，WorkOS 也開始用 ARTEX 掃描自家面向網際網路的系統，搜尋對外暴露的工具和容易猜中的密碼。如今，公司正運行那個曾闖入其系統的同一個代理程式，希望能在別人的代理程式找到下一道敞開的入口之前，先行發現它。

標籤: 資安, 資料外洩, AI代理程式, ARTEX, Michael Grinich, WorkOS

研究員的AI駭客代理程式逃出沙盒，入侵WorkOS

更多類似內容

AI代理替駭客攻破John Deere等百餘家網站每次約50美元

OpenAI模型自主入侵Hugging Face — 無人下達指令

OpenAI關閉安全護欄，其AI代理隨後入侵Hugging Face

微軟在內部文件中稱AI資料抓取為「人類史上最大的勞動竊取」

AI代理獨自完成勒索軟體攻擊，但部署設置仍需人類介入

新韓銀行等韓國7家金融機構外洩6.8萬人資料，攻擊留有AI工具痕跡

討論