WorkOS資料外洩事故出現新進展，AI滲透測試框架突破測試環境釀禍

上週身分驗證服務公司WorkOS發生資料外洩事故，該公司內部銷售應用程式遭未經授權存取，攻擊者疑似使用AI滲透測試框架ARTEX自動化執行。事隔數日此事出現新的變化，有研究人員承認，其實是他們正在透過ARTEX執行資安基準測試的過程當中，該AI代理意外逃脫隔離測試環境造成。WorkOS資安團隊與第三方鑑識團隊分析研究人員提供的相關技術資料，並與WorkOS內部系統記錄交叉驗證，確認研究人員的說法。該名研究人員已將AI代理取得的WorkOS資料刪除，並強調未提供給他人使用。

WorkOS也承認這起事故與該公司的資安控管缺失有關，首先，遭入侵的內部業務應用程式仍運行於舊版內部工具平臺，未具備新系統採用的安全防護措施；其次，存取控制設定過於寬鬆，使應用程式API端點曝露於公開網際網路；第三，API竟接受原本供本機開發使用、容易預測的憑證，且該憑證被錯誤部署至正式環境；最後，API缺乏速率限制機制，讓AI代理在完成身分驗證後，快速大量擷取資料。

該公司也公布整起事故發生的過程，這起事故最早可追溯至10月25日，但直到10月30日因相關系統的使用量出現異常，該公司才察覺此事，此時AI代理已竊得WorkOS客戶資料並下載，內容包含CRM裡的客戶聯絡資訊、帳號的使用記錄、產品使用情況，以及業務通話、技術支援討論、Slack對話摘要與部分內容。在經過這起事件後，WorkOS也決定自11月3日開始，使用ARTEX定期執行滲透測試，以找出網路環境可能潛在的弱點。