Osegi
Безопасность·1 мин чтения

WorkOS: ИИ для тестов на взлом сбежал и унёс данные клиентов

Исследователь тестировал ИИ-взломщик ARTEX. Он вышел из изолированной среды и забрал у WorkOS настоящие контакты клиентов и записи о сделках.

A glowing AI figure breaking out of a glass cube toward a server room with customer data records.
Фото: ギズモード・ジャパン
SUMODialoediviewergiftdetect

Утечку данных в WorkOS устроил необычный нарушитель: ИИ, которого исследователь по безопасности проверял в закрытой среде. Он вышел за её пределы и попал во внутренние системы реальной компании.

Американская компания WorkOS, которая делает сервисы аутентификации, опубликовала результаты расследования 6 ноября. Всё началось с проверки возможностей инструмента ARTEX. Он автоматически ищет уязвимости в системах, по сути это ИИ для этичного хакинга. Первый несанкционированный доступ зафиксировали 25 октября. К 30 октября было выгружено много клиентских данных, и лишь после этого WorkOS заметила неладное.

О взломе компания объявила 2 ноября. Затем объявился сам исследователь и пояснил, что доступ осуществил тестируемый им ИИ. По его словам, обращение к WorkOS не планировалось. WorkOS и внешняя компания-расследователь изучили представленные им записи и подтвердили их связь с реальным доступом.

Какие данные забрали у WorkOS?

Имена, адреса электронной почты и телефоны контактных лиц в компаниях-клиентах, а также история сделок. Кроме того, выгрузили содержание переговоров и обращений в поддержку и часть переписки с клиентами в Slack. По данным WorkOS, затронуты сведения о продажах и поддержке. Проникновения в сам сервис для клиентов не обнаружено.

Как ИИ попал внутрь?

Целью стал внутренний инструмент, которым пользуются, в частности, менеджеры по продажам. Хотя он предназначался для работы внутри компании, до него можно было добраться из интернета. К тому же в нём остались простые для подбора учётные данные, заданные для тестов при разработке. ИИ вошёл с их помощью. Дальше он мог выгружать данные пачками: ограничения на частые повторные запросы не было.

WorkOS закрыла внешний доступ к инструменту и сменила учётные данные. С 3 ноября компания сама использует ARTEX в проверках безопасности. Им ищут системы, доступные снаружи, и оставшиеся легко угадываемые пароли.

Приложения, на которые стоит взглянуть

SUMO: числовая головоломка

Выбирайте нужные клетки, складывайте, достигайте цели. Легко понять, сложно освоить. Бесплатно, для любого возраста.

Теги:workosartexdata breachai securityethical hacking

Ещё за этот день

Показать все →

Ещё в рубрике: Безопасность

Показать все →