Secondo quanto riportato da WorkOS, un ricercatore di sicurezza ha causato accidentalmente un incidente di sicurezza sulla piattaforma di sviluppo WorkOS utilizzando ARTEX, un framework di sicurezza offensiva AI, e ha estratto informazioni sui clienti. Il fondatore di WorkOS Michael Grinich ha dichiarato che il primo accesso non autorizzato all'applicazione interna di vendita è avvenuto il 25 ottobre 2026, e l'attività non è stata rilevata fino al 30 ottobre.
Grinich ha dichiarato in un post sul blog:
"Shortly after our original bulletin, a security researcher contacted us and claimed responsibility. They told us they were evaluating ARTEX, an autonomous penetration testing framework, when their agent escaped its isolated testing environment and interacted with WorkOS unintentionally.”
Il team di sicurezza di WorkOS e un investigatore forense indipendente hanno confermato la responsabilità del ricercatore confrontando dettagli delle richieste, timestamp e altri artefatti tecnici con quelli forniti dal ricercatore. Il ricercatore ha confermato che tutti i dati di WorkOS ottenuti dall'agente erano stati cancellati e non erano stati condivisi con altri.
L'indagine ha identificato diverse vulnerabilità che hanno permesso l'incidente, tra cui un'applicazione su una piattaforma di strumenti interni legacy senza le protezioni di sicurezza delle nuove piattaforme, controlli di accesso permissivi che hanno esposto gli endpoint API a Internet, credenziali prevedibili lasciate in produzione per lo sviluppo locale, e mancanza di limitazione della velocità che ha permesso all'agente di recuperare rapidamente i record.
Le informazioni esposte includevano dettagli di contatto aziendali, storie dei conti clienti, informazioni sull'uso dei prodotti, riassunti di chiamate di vendita, discussioni di supporto e conversazioni Slack dei clienti, con alcune comunicazioni di supporto che contenevano indirizzi email degli utenti finali. La validazione dell'indagine da parte di una società forense indipendente ha confermato la correttezza delle conclusioni.