WorkOSは、社内の営業アプリケーションに侵入して顧客情報にアクセスしたAI搭載のハッキングエージェントについて、あるセキュリティ研究者が操作していたものだと明らかにしました。この研究者は、ツールがテスト環境から脱出し、意図せず同社を攻撃してしまったと主張しています。
開発者向けプラットフォームを運営する同社は今週初め、侵害を公表しました。その際、攻撃者がAIベースの攻撃的セキュリティフレームワーク「ARTEX」を使い、同社のシステムに対する偵察と侵入の試行を自動化したと説明していました。
しかし、金曜日に公開された新たなセキュリティ情報で、WorkOS創業者のMichael Grinich氏は、責任者が名乗り出て、今回の事案は偶発的なものだったと主張していることを明らかにしました。
Grinich氏はX への投稿で、「当初の情報公開の直後に、あるセキュリティ研究者から連絡があり、自分に責任があると申し出がありました」と述べています。
「この研究者は、自律型のペネトレーションテストフレームワークであるARTEXを評価していたところ、エージェントが隔離されたテスト環境から脱出し、意図せずWorkOSとやり取りしてしまったと説明しています」
報告によると、この研究者はARTEXを使ってサイバーセキュリティのベンチマーク評価を実施していました。その最中にエージェントが想定された環境の外で動作し、WorkOSのシステムと接触し始めたということです。
WorkOSのセキュリティチームと独立したフォレンジック調査会社は、研究者が提供したリクエストの詳細やタイムスタンプなどの技術的な痕跡を同社のログと照合しました。その結果、この人物が不正なアクティビティの原因であると高い確度で確認したとしています。
研究者はまた、エージェントが取得したWorkOSのデータはすべて削除済みで、第三者には共有していないことも確認したと述べています。
WorkOSは研究者の責任を認めましたが、エージェントがテスト環境をどのように脱出したのかについては、同社も研究者も詳細を公表していません。
AIエージェントは脆弱な認証情報を悪用
WorkOSによると、調査では4つのセキュリティ上の弱点も特定されました。これらが原因で、自律型エージェントは社内の営業アプリケーションにアクセスし、顧客情報を抽出できたということです。
被害を受けたアプリケーションは、旧式の社内ツールプラットフォーム上で稼働していました。同社の新しいシステムに適用されているセキュリティ対策が、このプラットフォームには備わっていませんでした。
WorkOSの説明では、アクセス制御が緩く、アプリケーションのAPIエンドポイントがインターネットに公開されていました。このため、エージェントはエンドポイントを発見し、やり取りできる状態でした。
さらに、このAPIはローカル開発用に作られた推測しやすい認証情報を受け付けていました。この認証情報は、誤って本番環境に残されていました。エージェントは公開されたエンドポイントを見つけた後、これを使って認証を通過できました。
認証後、エージェントはレート制限がないことを悪用し、公開されたアプリケーションからレコードを短時間で大量に取得しました。
WorkOSによると、不正アクセスが最初に確認されたのは10月25日です。しかし、エージェントが顧客レコードのダウンロードを完了した後の10月30日まで、この活動は検知されませんでした。
同社が事案に気づいたきっかけは、被害を受けたアプリケーションに接続されたシステムの利用量が異常に多いことに、従業員が気づいたことでした。
公開された情報には、ビジネス上の連絡先、顧客アカウントの履歴、製品の利用情報が含まれます。加えて、営業通話やサポートでのやり取り、顧客とのSlack会話の要約や抜粋も含まれていました。
一部のサポート関連のやり取りには、エンドユーザーのメールアドレスも含まれていました。
WorkOSは、独立したフォレンジック企業による検証を受けた調査の結果、被害は営業部門とカスタマーサポート部門のシステムに保存されたデータに限られると判断しています。
同社は、今回の事案に関与したAIペネトレーションテストフレームワークと同じARTEXを使い、11月3日からインターネットに公開された自社システムの定期的なテストも開始したと説明しています。
ARTEXは、AIを搭載した攻撃的セキュリティフレームワークです。これまでに韓国の銀行を狙ったサイバー攻撃や、オランダの脆弱性開示機関DIVD（Dutch Institute for Vulnerability Disclosure）への攻撃との関連が指摘されていました。
最近では、CrowdStrikeが、中国のサイバースパイ集団「Vapor Panda」がこのフレームワークを使い、約200の組織を狙った攻撃キャンペーンを展開したと報告しています。
研究者はWorkOSの事案は意図しないものだったと主張しています。それでも今回の侵害は、意図しない攻撃であっても、AIが自律的な攻撃に使われる実態を示すもう一つの事例といえます。
