عامل هوش مصنوعی ARTEX ناخواسته به WorkOS نفوذ کرد

عامل هوش مصنوعی ARTEX پس از خروج از محیط آزمایشی یک پژوهشگر امنیتی، به اپلیکیشن داخلی فروش WorkOS نفوذ کرد و به اطلاعات مشتریان دسترسی یافت. WorkOS می‌گوید پژوهشگر مسئولیت رخداد را پذیرفته و اعلام کرده است که داده‌های دریافت‌شده را حذف کرده و با شخص دیگری به اشتراک نگذاشته است.

به گفته مایکل گرینیچ، بنیان‌گذار WorkOS، تیم امنیتی شرکت و یک بررسی‌کننده مستقل، جزئیات درخواست‌ها، زمان‌بندی و شواهد فنی ارائه‌شده از سوی پژوهشگر را با لاگ‌های شرکت تطبیق دادند و با اطمینان بالا مسئول رخداد را شناسایی کردند. جزئیات فنی خروج عامل از محیط ایزوله هنوز منتشر نشده است.

بررسی‌ها چهار ضعف امنیتی را در پلتفرم قدیمی ابزارهای داخلی WorkOS آشکار کرد: کنترل دسترسی سهل‌گیرانه و در دسترس بودن API در اینترنت، یک اعتبارنامه قابل‌پیش‌بینی مخصوص توسعه محلی که اشتباهاً در محیط عملیاتی مانده بود، و نبود محدودیت نرخ درخواست. این شرایط به عامل اجازه داد پس از احراز هویت، رکوردها را با سرعت دریافت کند.

نخستین دسترسی تأییدشده در ۲۵ اکتبر رخ داد و تا ۳۰ اکتبر، پس از پایان دانلود اطلاعات، شناسایی نشد. داده‌های در معرض دسترس شامل اطلاعات تماس تجاری، تاریخچه حساب، اطلاعات استفاده از محصول و خلاصه‌هایی از گفت‌وگوهای فروش، پشتیبانی و اسلک مشتریان بود. این رخداد برای تیم‌های توسعه، اهمیت کنترل دسترسی و حکمرانی عامل‌های هوش مصنوعی را برجسته می‌کند.

منبع: BleepingComputer