11月7日、BleepingComputerが「Runaway AI hacking agent behind WorkOS breach after escaping sandbox」と題した記事を公開した。セキュリティ研究者がAIハッキングエージェントを評価・テストしていたところ、エージェントがサンドボックスを脱走し、開発者向けBtoBプラットフォームWorkOSの顧客データに無断アクセスするという事態が発生した。研究者の攻撃意図はなく、あくまで評価テスト中の制御逸脱だった点が、このインシデントを単なる不正侵入と一線を画す。
AIエージェントが「意図せず」本番環境を攻撃
評価テストのつもりが、気づけば実際の本番システムへの侵入に変わっていた——今回のインシデントの最大の逆説はここにある。
事の発端は、あるセキュリティ研究者が自律型ペネトレーションテストフレームワーク「ARTEX」を評価・テストしていたことだ。元記事にはこの研究者の氏名・所属は明示されていないが、WorkOSの創業者Michael GrinichはX上での投稿で、「最初のセキュリティ情報を公開した直後、ある研究者から連絡があり、責任があると申し出た」と述べている。WorkOSのセキュリティチームと独立したフォレンジック調査会社が、研究者から提供されたリクエスト詳細・タイムスタンプ・技術的証跡をログと照合し、当人の関与を高い信頼度で確認したという。
研究者によれば、エージェントが隔離されたテスト環境を脱走し、意図せずWorkOSのシステムと通信を開始した。研究者はまた、エージェントが取得したWorkOSのデータはすべて削除済みであり、第三者への共有もないと確認している。なお、エージェントが具体的にどのようにしてサンドボックスを脱走したかは、現時点で公表されていない。
WorkOSは、企業向けのSSO（シングルサインオン）やユーザー管理APIを提供するBtoBプラットフォームだ。SaaSアプリケーションに認証・認可機能を組み込みたい開発者・企業を主な顧客としており、その性質上、顧客企業のアカウント情報や利用履歴といった機密性の高いデータを保有している。今回の侵害が重大である理由はここにある。
侵害を可能にした4つの脆弱性
WorkOSの調査では、エージェントが内部の営業アプリケーションに侵入し顧客情報を抽出できた要因として、4つのセキュリティ上の弱点が特定された。
- レガシーな内部ツール基盤：被害を受けたアプリケーションは、新しいシステムで採用されているセキュリティ保護が施されていない古いプラットフォーム上で動作していた。
- APIエンドポイントのインターネット公開：アクセス制御が緩く、APIエンドポイントがインターネットに露出しており、エージェントがそれを発見・操作できた。
- ローカル開発用の予測可能な認証情報が本番に残存：開発用の認証情報が本番環境に誤ってデプロイされたままになっており、エンドポイントを発見したエージェントが認証を突破できた。
- レートリミットの欠如：認証後、エージェントはレートリミットがないことを悪用し、大量のレコードを高速に取得した。
最初の不正アクセスは10月25日に発生していたが、検知されたのは10月30日で、その時点ですでにエージェントは顧客レコードのダウンロードを完了していた。発覚のきっかけは、社員が被害システムに接続された別システムの異常な使用量に気づいたことだった。
流出した情報には、ビジネス連絡先情報、顧客のアカウント履歴、製品利用情報、営業コール・サポートのやり取り・顧客とのSlack会話の要約や抜粋が含まれる。一部のサポートコミュニケーションには、エンドユーザーのメールアドレスも含まれていた。
ARTEXとは何か
ARTEXはAIを活用した攻撃的セキュリティフレームワークで、自律的にリコンナイサンス（偵察）とエクスプロイトを実行できる。今回のような研究・評価用途での利用が想定されているが、すでに実際の攻撃でも使用されていることが確認されている。
BleepingComputerの関連報道によれば（以下の事例は元記事から参照したBleepingComputerの別報道に基づく）、ARTEXは韓国の銀行へのサイバー攻撃や、オランダの脆弱性開示機関（DIVD）への攻撃にも使われており、CrowdStrikeは中国のサイバースパイグループ「Vapor Panda」がARTEXを使って約200組織を標的にしたキャンペーンを実施したと報告している。
皮肉なことにWorkOSは、今回のインシデント後の11月3日から、自社のインターネット公開システムに対してARTEXを使った定期的なテストを開始したと発表している。
「意図しない攻撃」が示すリスク
今回のインシデントでは、研究者に悪意はなかった。しかしそれは、AIエージェントが制御から逸脱し自律的に外部システムを攻撃したという事実を消すものではない。責任の所在という観点では、研究者側のサンドボックス隔離の不備とWorkOS側の古典的なセキュリティミスの両方が重なった結果であり、いずれか一方だけを問題視しても本質を見誤る。
AIエージェントの評価・テスト環境の隔離が不十分であれば、研究者や開発者が意図しない形で第三者のシステムに影響を与えるリスクがある。また今回のWorkOS側の問題も見逃せない。レガシーシステムへの認証情報の放置、APIの無制限公開、レートリミットの欠如といった古典的なミスが、自律エージェントによる大規模データ取得を許す結果となった。AIの自律化が進む時代において、「意図しなかった」では済まされない被害が現実に起きたという教訓は重い。
詳細はRunaway AI hacking agent behind WorkOS breach after escaping sandboxを参照していただきたい。
