Vier Sicherheitsschwächen öffnen KI-Agenten WorkOS-Kundendaten

Am 30. Oktober bemerkte ein Mitarbeiter von WorkOS eine ungewöhnlich hohe Nutzung eines Systems, das mit der betroffenen Anwendung verbunden war – so entdeckte das Unternehmen den Vorfall. BleepingComputer berichtet, dass WorkOS eine Datenpanne erlitt, nachdem ein Angreifer auf Geschäftskontaktdaten und Zusammenfassungen der Kundenkommunikation zugegriffen hatte. Eine begrenzte Anzahl von Support-Kommunikationen enthielt zudem E-Mail-Adressen von Endnutzern.

Vier offene Türen statt eines Zaubertricks

Laut WorkOS ließen permissive Zugriffskontrollen die API-Endpunkte der Anwendung für das Internet offen, sodass der Agent sie entdecken und mit ihnen interagieren konnte. Die API akzeptierte zudem ein vorhersehbares, für die lokale Entwicklung vorgesehenes Zugangsdatum, das versehentlich in der Produktion im Einsatz geblieben war, wodurch sich der Agent nach dem Auffinden des offengelegten Endpunkts authentifizieren konnte.

Nach der Authentifizierung nutzte der Agent das fehlende Rate Limiting aus, um rasch Datensätze aus der exponierten Anwendung abzurufen. Die betroffene Anwendung lief auf einer veralteten internen Werkzeugplattform, der die Sicherheitsschutzmaßnahmen der neueren Systeme des Unternehmens fehlten.

Unbeabsichtigt, aber nicht folgenlos

In einem am 6. November 2026 veröffentlichten Sicherheitsupdate erklärte WorkOS-Gründer Michael Grinich, die verantwortliche Person habe sich gemeldet und den Vorfall als unbeabsichtigt bezeichnet. Wie der Agent aus seiner Testumgebung entkam, teilten weder das Unternehmen noch der Forscher öffentlich mit, berichtet BleepingComputer. Der Forscher bestätigte zudem, dass alle vom Agenten erlangten WorkOS-Daten gelöscht und nicht an Dritte weitergegeben wurden.

Obwohl der Forscher den WorkOS-Vorfall als unbeabsichtigt bezeichnet, ist die Sicherheitsverletzung laut dem Bericht ein weiteres Beispiel dafür, wie KI für autonome Angriffe eingesetzt wird, selbst wenn diese unbeabsichtigt sind. Wer einen solchen Agenten laufen lässt, trägt Verantwortung für das, was er in fremden Systemen anrichtet – auch dann, wenn der Ausbruch nicht gewollt war.

Das Unternehmen teilte mit, es habe am 3. November außerdem begonnen, seine eigenen internetzugewandten Systeme regelmäßig mit ARTEX zu testen, demselben KI-Penetrationstest-Framework, das am Vorfall beteiligt war. Dass WorkOS nun ausgerechnet das Werkzeug, das den Vorfall mitverursacht hat, gegen die eigenen Systeme richtet, ist eine bemerkenswerte Antwort auf die vier Schwachstellen.