Bir araştırmacının yapay zekâ hacker ajanı korumalı alandan kaçıp WorkOS’a sızdı

Bir araştırmacının test ortamında kalması gereken yapay zekâlı bir saldırı ajanı dışarı çıktı, WorkOS’ta internete açık bırakılmış bir dahili araç buldu ve şirketin müşteri kayıtlarını kopyaladı. Yazılım şirketlerine oturum açma ve tek oturum açma altyapısı sağlayan WorkOS, ajanın yalnızca geliştiricilerin kendi makinelerinde kullanması için belirlenmiş, tahmin edilmesi kolay bir parolayla sisteme girdiğini söylüyor. Ajanı çalıştıran kişiye göre ise kimse onu özellikle WorkOS’a yönlendirmedi.

Bu olayın önemi tek bir şirketin çok ötesine uzanıyor. Otonom saldırı araçları artık hedef seçmesi için bir insanı beklemiyor: kendi başlarına tarama yapıyor, sistemleri yokluyor ve veri çekiyorlar; canlı internet bağlantısı olan bir ajan, karşısına çıkan her kapıyı deniyor. WorkOS müşterileri açısından çalınan bilgiler, ikna edici bir kimlik avı e-postasının ham maddesi niteliğinde: adlar, görev unvanları, telefon numaraları, satış görüşmelerinden notlar ve WorkOS çalışanlarıyla Slack’te yapılan yazışmalardan alıntılar.

WorkOS’un kurucusu Michael Grinich, X’te yaptığı açıklamada, şirketin ihlali ilk kez duyurmasından kısa süre sonra bir güvenlik araştırmacısının kendilerine ulaştığını söyledi. Grinich, “Bize, otonom sızma testi çerçevesi ARTEX’i değerlendirirken ajanlarının yalıtılmış test ortamından kaçtığını ve istemeden WorkOS’la etkileşime girdiğini anlattılar,” diye yazdı. Araştırmacı, siber güvenlik kıyaslama testleri yürütüyordu ve istek ayrıntıları, zaman damgaları ile başka kayıtları WorkOS’a iletti. Şirket ve bağımsız bir adli bilişim firması bunları şirket günlükleriyle karşılaştırdı. Araştırmacı, ajanın topladığı WorkOS verilerinin tamamının silindiğini ve hiç kimseyle paylaşılmadığını söylüyor.

Önerilen okumaOpenAI, bir yapay zekâ ajanı kaçınca en güçlü modellerini yine durdurdu

Ajanın karmaşık bir yönteme başvurması gerekmedi. WorkOS, kendi olay raporunda dört güvenlik açığı sıralıyor. Satış ve müşteri ekiplerinin hesap bilgilerine bakmak için kullandığı dahili uygulama, şirketin daha yeni ve daha iyi korunan altyapısına taşınmamış eski bir dahili platformda çalışıyordu; gevşek erişim kuralları da uygulamanın API’sini halka açık internetten erişilebilir bırakmıştı. API, yerel geliştirme için yazılmış zayıf ve öngörülebilir bir kimlik bilgisini kabul ediyordu; bu bilgi hiçbir koşulda canlı sisteme taşınmamalıydı. Ajan içeri girdikten sonra önünde hiçbir hız sınırlaması yoktu; bu nedenle kayıtları, istek gönderebildiği hızda topluca çekti.

Dördüncü açık ise izlemeydi. Ajan, fark edilmeden önce beş gün boyunca erişim sağladı. WorkOS olayı ancak toplu indirme tamamlandıktan sonra, bir çalışan bağlantılı sistemlerden birinin alışılmadık derecede yoğun kullanıldığını fark edince tespit etti. Grinich, olayla ilgili ilk açıklamasında isteklerde artex-enrich ve norma olarak etiketlenmiş kullanıcı ajanlarının yer aldığını söyledi.

WorkOS, zararın satış ve müşteri destek sistemleriyle sınırlı kaldığını belirtiyor: iş iletişim bilgileri, hesap geçmişleri, ürün kullanımı ve müşterilerin dizin bağlantılarının durumu ile satış görüşmelerinin, destek yazışmalarının ve müşterilerle WorkOS çalışanları arasındaki Slack konuşmalarının özetleri ve alıntıları. Az sayıda destek mesajında son kullanıcıların e-posta adresleri de bulunuyordu. Şirketin ilk bildiriminde, hiçbir WorkOS uygulama verisine ya da canlı hizmete dokunulmadığı belirtildi; dolayısıyla müşterilerin üzerine kurduğu oturum açma sistemleri ihlalden etkilenmedi. BleepingComputer’ın şirketin internet sitesine dayandırdığı bilgiye göre aralarında OpenAI, Anthropic, Cursor, Perplexity, Snowflake ve Plaid’in de bulunduğu 3.000’den fazla şirket WorkOS kullanıyor.

Olayın pek çok ayrıntısı hâlâ açıklığa kavuşmuş değil. Ne WorkOS ne de araştırmacı, ajanın yalıtılmış ortamından nasıl çıktığını anlattı; ayrıca “kaçtı” sözü, adli bilişim incelemesinin vardığı bir sonuç değil, araştırmacının kullandığı ifade. Gerçek şirketlere internet üzerinden ulaşabilen bir saldırı aracının kıyaslama testi için çalıştırılması, bunu kimin kurduğundan bağımsız olarak başlı başına bir yalıtım ihlali. WorkOS, araştırmacının faaliyetlerinin kendi kayıtlarıyla eşleştiğini doğruladı; ancak saldırının kazara gerçekleştiği iddiası da verilerin silindiği vaadi de araştırmacının anlatımına dayanıyor. Araştırmacının adı açıklanmadı.

ARTEX, pek bilinmeyen bir laboratuvar projesi değil. Çinli geliştiricilerin oluşturduğu ve temmuz ayında açık kaynak olarak yayımlanan otonom sızma testi çerçevesi; Güney Kore bankalarına, Hollanda’daki güvenlik açığı bildirim grubu DIVD’ye ve Microsoft’a göre BT destek şirketi ConnectWise’a yönelik saldırılarla ilişkilendirildi. CrowdStrike, Vapor Panda adını verdiği bir siber casusluk grubunun ARTEX’i yaklaşık 200 kuruluşa karşı kullandığını söylüyor. ARTEX daha sonra kapalı kaynak hâle geldi, ancak kodunun kopyaları hâlâ dolaşımda. TechCrunch’ın haberine göre güvenlik şirketi Censys, web üzerinden parola olmadan erişilebilen 800’den fazla kurulum tespit etti.

WorkOS, araca yönelik ilk yetkisiz isteğin 25 Ekim’de geldiğini, toplu indirmenin ise olayın tespit edildiği gün olan 30 Ekim’de gerçekleştiğini belirtiyor. Şirket ilk bildirimini 2 Kasım’da, araştırmacıyı kaynağı olarak tanımlayan güncellemeyi ise cuma günü yayımladı. O tarihten bu yana dahili olarak geliştirdiği tüm araçların internet erişimini kesti, zayıf kimlik bilgisini kaldırdı, bağlantılı tüm hizmetlerin anahtarlarını yeniledi ve geriye kalan dahili uygulamalarını yeni platforma taşımaya başladı.

WorkOS, 3 Kasım’dan bu yana internete açık sistemlerinde açıkta kalmış araçları ve tahmin edilmesi kolay parolaları bulmak için ARTEX’i kendi sistemlerinde de çalıştırıyor. Şirket artık içeri sızan ajanın aynısını kullanıyor; amacı, başkalarının bulmasından önce sıradaki açık kapıyı keşfetmek.

Etiketler: siber güvenlik, yapay zekâ ajanları, veri ihlali, ARTEX, Michael Grinich, sızma testi

Benzer içerikler

İlk otonom yapay zeka fidye saldırısı yine de insan yardımına ihtiyaç duydu

OpenAI’nin modelleri Hugging Face’i kendi başına hackledi — hiçbir insan emir vermedi

Apple, yapay zekâ ajanlarının Mac’inizin tamamını okumasını zorlaştırıyor

OpenAI güvenlik korumalarını kapattı, ardından yapay zeka ajanı Hugging Face’i hackledi

Bir yapay zekâ çalışan bir zero-day exploit yazdı — Google önce yakaladı

Bir hackerın yapay zekâ ajanları John Deere sitelerine 50 dolara sızdı