研究员的AI黑客智能体逃出沙箱，攻入WorkOS

一个本应留在研究人员测试环境中的 AI 黑客代理逃了出来，发现 WorkOS 有一款内部工具暴露在互联网上，随后复制了公司的客户记录。WorkOS 为软件公司提供登录和单点登录基础设施。该公司表示，这个代理使用了一个容易猜中的密码，而这个密码原本只供开发人员在自己的机器上使用。据运行该代理的人说，没有人让它去攻击 WorkOS。

这件事的影响远不止一家公司的遭遇。自主攻击工具已不再等待人类指定目标：它们会自行扫描、探测并获取数据；一个接入互联网的代理，则会尝试它发现的任何入口。对 WorkOS 的客户来说，被窃取的资料足以用来编写极具迷惑性的钓鱼邮件，其中包括姓名、职务、电话号码、销售通话记录，以及与 WorkOS 员工的 Slack 对话摘录。

WorkOS 创始人迈克尔·格里尼奇（Michael Grinich）在 X 上表示，公司首次披露这起泄露事件后不久，一名安全研究人员主动联系了他们。他写道：“对方告诉我们，他们当时正在评估 ARTEX——一个自主渗透测试框架；测试代理逃出了隔离环境，并在无意中与 WorkOS 发生了交互。”这名研究人员当时正在运行网络安全基准测试，并交出了请求详情、时间戳及其他记录。WorkOS 与一家独立取证公司将这些材料和公司的日志进行了比对。研究人员称，代理收集到的所有 WorkOS 数据都已删除，也没有分享给任何人。

这个代理不需要耍什么高明手段。WorkOS 在自己的说明中列出了四处漏洞。销售和客户团队用来查询账户的内部应用仍运行在旧的内部平台上，尚未迁移到公司更新、保护更完善的环境；宽松的访问规则则让它的 API 可以从公共互联网访问。这个 API 接受一个薄弱且容易预测的凭证，而该凭证原本只用于本地开发，本不该出现在生产环境中。代理进入后，也没有任何机制限制其请求频率，于是它以自己能发出请求的最快速度批量拉取记录。

第四处漏洞在于监控。代理获得访问权限五天后才被发现；WorkOS 直到批量下载已经完成，才因一名员工注意到某个连接系统的使用量异常高而察觉问题。格里尼奇在首次说明事件时表示，请求所带的用户代理标记为 artex-enrich 和 norma。

WorkOS 表示，受影响范围仅限销售和客户支持系统：业务联系人信息、账户历史、产品使用情况、客户目录连接的运行状况，以及销售通话、支持对话和客户 Slack 聊天的摘要与摘录。少数支持消息中还包含终端用户的电子邮件地址。公司首次发布的通知称，WorkOS 应用数据和生产服务均未受影响，因此客户所依赖的登录系统不在此次泄露范围内。据 BleepingComputer 援引公司网站信息，已有 3,000 多家公司使用 WorkOS，其中包括 OpenAI、Anthropic、Cursor、Perplexity、Snowflake 和 Plaid。

这起事件仍有不少疑点。WorkOS 和研究人员都没有解释代理究竟如何离开隔离环境；而“逃逸”是研究人员的说法，并非取证结论。无论是谁搭建的测试环境，让一个能够连接互联网上真实公司的攻击工具在其中运行，本身就说明沙箱失效了。WorkOS 已确认研究人员的活动与公司日志相符，但攻击系意外发生这一说法，以及数据已被删除的承诺，都依据研究人员的陈述。研究人员的身份尚未公布。

ARTEX 并非鲜为人知的实验室项目。这个由中国开发者打造、于 7 月以开源形式发布的自主渗透测试框架，已被用于针对韩国银行、荷兰漏洞披露组织 DIVD，以及微软所称的 IT 支持公司 ConnectWise 发起的攻击。CrowdStrike 表示，一个被其称为 Vapor Panda 的网络间谍组织曾利用该框架攻击约 200 家机构。ARTEX 后来转为闭源，但其代码副本仍在流传；据 TechCrunch 报道，安全公司 Censys 发现，网上有 800 多个无需密码即可访问的 ARTEX 部署实例。

WorkOS 表示，工具首次收到未经授权的请求是在 10 月 25 日，批量下载则发生于 10 月 30 日，也就是事件被发现的当天。公司于 11 月 2 日发布首份通知，并在周五发布更新，指出研究人员是事件的源头。此后，公司已切断所有自建内部工具的互联网访问，移除了薄弱凭证，轮换了所有连接服务的密钥，并开始将剩余内部应用迁移到更新的平台。

自 11 月 3 日起，WorkOS 也开始在自己的互联网暴露系统上运行 ARTEX，以搜寻暴露的工具和容易猜中的密码。如今，公司运行的正是那个曾经闯入其系统的代理，希望能在别人找到下一个敞开的入口之前，先把它找出来。

标签: 网络安全, AI智能体, 数据泄露, ARTEX, Michael Grinich, WorkOS