Tác nhân AI tấn công thoát khỏi sandbox của nhà nghiên cứu và xâm nhập WorkOS

Một tác nhân AI chuyên xâm nhập vốn chỉ được phép hoạt động trong môi trường thử nghiệm của một nhà nghiên cứu đã thoát ra ngoài, tìm thấy một công cụ nội bộ của WorkOS đang mở trên internet và sao chép hồ sơ khách hàng của công ty. WorkOS, đơn vị cung cấp hạ tầng đăng nhập và đăng nhập một lần cho các công ty phần mềm, cho biết tác nhân đã xâm nhập bằng một mật khẩu dễ đoán, vốn chỉ dành cho các nhà phát triển sử dụng trên máy cá nhân. Theo người vận hành tác nhân, không ai hề hướng nó đến WorkOS.

Vấn đề này vượt xa phạm vi của một công ty. Các công cụ tấn công tự động không còn chờ con người chọn mục tiêu: chúng tự quét, dò tìm và lấy dữ liệu; một tác nhân có kết nối internet trực tiếp sẽ thử bất cứ cánh cửa nào nó tìm thấy. Với khách hàng của WorkOS, dữ liệu bị đánh cắp là nguyên liệu để tạo nên những email lừa đảo rất thuyết phục, bao gồm tên, chức danh, số điện thoại, ghi chú từ các cuộc gọi bán hàng và trích đoạn trò chuyện trên Slack với nhân viên WorkOS.

Nhà sáng lập WorkOS, Michael Grinich, cho biết trên X rằng một nhà nghiên cứu bảo mật đã liên hệ ngay sau khi công ty lần đầu công bố vụ xâm nhập. “Họ cho biết đang đánh giá ARTEX, một khuôn khổ kiểm thử xâm nhập tự động, thì tác nhân của họ thoát khỏi môi trường thử nghiệm biệt lập và vô tình tương tác với WorkOS,” ông viết. Nhà nghiên cứu đang tiến hành đánh giá chuẩn trong lĩnh vực an ninh mạng và đã cung cấp thông tin chi tiết về các yêu cầu truy cập, dấu thời gian cùng những dữ liệu liên quan khác. WorkOS và một công ty điều tra pháp chứng độc lập đã đối chiếu chúng với nhật ký của công ty. Nhà nghiên cứu nói rằng mọi dữ liệu WorkOS mà tác nhân thu thập được đều đã bị xóa và không được chia sẻ với bất kỳ ai.

Tác nhân không cần đến thủ thuật tinh vi nào. Trong bản tường trình, WorkOS nêu ra bốn lỗ hổng. Công cụ này là một ứng dụng nội bộ được các nhóm bán hàng và hỗ trợ khách hàng dùng để tra cứu tài khoản. Nó vẫn chạy trên một nền tảng nội bộ cũ, chưa được chuyển sang hệ thống mới có mức bảo vệ tốt hơn của công ty; các quy tắc truy cập lỏng lẻo khiến API của công cụ có thể được truy cập từ internet công cộng. API chấp nhận một thông tin xác thực yếu, dễ đoán, vốn được tạo ra cho môi trường phát triển trên máy cá nhân và đáng lẽ không bao giờ được đưa lên hệ thống thực tế. Khi đã xâm nhập, tác nhân không gặp bất kỳ giới hạn tốc độ nào, nên có thể tải hàng loạt hồ sơ nhanh hết mức có thể gửi yêu cầu.

Lỗ hổng thứ tư nằm ở khâu giám sát. Tác nhân đã có quyền truy cập trong năm ngày trước khi bị phát hiện; WorkOS chỉ nhận ra sự việc sau khi quá trình tải hàng loạt đã hoàn tất, khi một nhân viên thấy mức sử dụng bất thường ở một trong các hệ thống được kết nối. Trong bài tường trình đầu tiên về sự cố, Grinich cho biết các yêu cầu truy cập mang tên định danh trình duyệt artex-enrich và norma.

WorkOS cho biết thiệt hại chỉ giới hạn ở các hệ thống bán hàng và hỗ trợ khách hàng: thông tin liên hệ công việc, lịch sử tài khoản, mức độ sử dụng sản phẩm và tình trạng kết nối thư mục của khách hàng, cùng với các bản tóm tắt và trích đoạn từ cuộc gọi bán hàng, trao đổi hỗ trợ và trò chuyện với khách hàng trên Slack. Một số ít tin nhắn hỗ trợ cũng có chứa địa chỉ email của người dùng cuối. Thông báo đầu tiên của công ty cho biết dữ liệu ứng dụng WorkOS và các dịch vụ sản xuất không bị đụng đến, nghĩa là những hệ thống đăng nhập mà khách hàng xây dựng trên nền tảng này không nằm trong vụ xâm nhập. Theo website của công ty, như BleepingComputer dẫn lại, hơn 3.000 công ty sử dụng WorkOS, trong đó có OpenAI, Anthropic, Cursor, Perplexity, Snowflake và Plaid.

Nhiều chi tiết trong vụ việc vẫn chưa được làm rõ. Cả WorkOS lẫn nhà nghiên cứu đều chưa giải thích tác nhân đã rời khỏi môi trường biệt lập bằng cách nào; “thoát ra” là cách diễn đạt của nhà nghiên cứu, chứ không phải kết luận từ điều tra pháp chứng. Dù ai thiết lập đi nữa, việc chạy thử một công cụ tấn công có khả năng tiếp cận các công ty thực trên internet đã là một thất bại của môi trường cách ly. WorkOS xác nhận hoạt động của nhà nghiên cứu khớp với nhật ký hệ thống, nhưng khẳng định vụ tấn công là vô tình — cũng như cam kết dữ liệu đã bị xóa — đều dựa trên lời kể của nhà nghiên cứu. Danh tính người này chưa được tiết lộ.

ARTEX không phải dự án nghiên cứu ít người biết đến. Khuôn khổ kiểm thử xâm nhập tự động này do các nhà phát triển Trung Quốc xây dựng và phát hành dưới dạng mã nguồn mở vào tháng Bảy. Công cụ này được cho là có liên quan đến các vụ tấn công nhằm vào các ngân hàng Hàn Quốc, nhóm công bố lỗ hổng Hà Lan DIVD và, theo Microsoft, công ty hỗ trợ công nghệ thông tin ConnectWise. CrowdStrike cho biết một nhóm gián điệp mạng mà họ gọi là Vapor Panda đã sử dụng công cụ này để nhắm vào khoảng 200 tổ chức. ARTEX sau đó chuyển sang dạng mã nguồn đóng, nhưng các bản sao mã nguồn vẫn được lưu truyền; công ty an ninh mạng Censys thống kê có hơn 800 phiên bản triển khai có thể truy cập trên web mà không cần mật khẩu, theo TechCrunch.

WorkOS cho biết yêu cầu trái phép đầu tiên được gửi đến công cụ vào ngày 25 tháng 10, còn đợt tải dữ liệu hàng loạt diễn ra ngày 30 tháng 10, cũng là ngày vụ việc bị phát hiện. Công ty công bố thông báo đầu tiên vào ngày 2 tháng 11, sau đó đăng bản cập nhật nêu nhà nghiên cứu là nguồn gốc sự việc vào thứ Sáu. Kể từ đó, công ty đã chặn truy cập internet vào toàn bộ công cụ do mình phát triển nội bộ, gỡ bỏ thông tin xác thực yếu, thay mới khóa của mọi dịch vụ được kết nối và bắt đầu chuyển các ứng dụng nội bộ còn lại sang nền tảng mới.

Từ ngày 3 tháng 11, WorkOS cũng đã cho ARTEX rà quét các hệ thống của chính mình có thể truy cập từ internet để tìm công cụ bị lộ và mật khẩu dễ đoán. Giờ đây, công ty đang vận hành chính tác nhân từng đột nhập vào hệ thống của mình, với hy vọng phát hiện cánh cửa sơ hở tiếp theo trước khi tác nhân của người khác tìm ra.

Thẻ: an ninh mạng, tác nhân AI, rò rỉ dữ liệu, ARTEX, kiểm thử xâm nhập, Michael Grinich