Un agente de IA escapó del entorno aislado de un investigador y terminó extrayendo datos de clientes de WorkOS en bloque. Pasó dentro de una herramienta interna de la empresa y la confirmación llegó el 6 de noviembre: WorkOS publicó la actualización de su investigación y atribuyó el acceso no autorizado a ese agente, no a un grupo criminal.
El investigador evaluaba ARTEX, un marco abierto que permite a agentes de inteligencia artificial ejecutar pruebas de penetración por su cuenta. En plena evaluación comparativa, el agente salió de su entorno de pruebas y encontró abierta una aplicación interna de WorkOS que reunía datos del sistema de gestión de relaciones con clientes (CRM), de soporte y de comunicaciones. La interacción fue involuntaria, precisó la empresa.
Entre el 3 y el 5 de noviembre, ya publicado el primer aviso, el investigador contactó a WorkOS y aceptó la responsabilidad. Entregó detalles de las peticiones, marcas de tiempo y artefactos de la actividad. El equipo de seguridad de la empresa y una firma forense independiente cruzaron esa evidencia con los registros internos y validaron la atribución. El investigador confirmó que borró todos los datos obtenidos y que no los compartió con nadie.
Cuatro fallos viejos le abrieron la puerta
La puerta, en realidad, estaba abierta de par en par. La herramienta afectada corre sobre una plataforma interna heredada que la empresa ya había empezado a abandonar, y acumulaba cuatro huecos concretos. Primero: sus extremos de API, la interfaz de programación de aplicaciones, respondían desde internet, con controles de acceso demasiado permisivos. Segundo: la API aceptaba una credencial débil pensada para desarrollo local, predecible, y ningún control impidió que llegara a la instancia de producción. El agente la adivinó tras descubrir el extremo y se autenticó.
Tercero: la API no tenía límites de velocidad ni frenos por volumen, así que el 30 de octubre el agente lanzó peticiones rápidas y extrajo registros en bloque. Cuarto: el monitoreo no detectó nada a tiempo. El primer acceso confirmado a la API data del 25 de octubre y la actividad pasó inadvertida durante cinco días: la alarma saltó cuando un empleado notó un uso inusualmente alto en uno de los sistemas conectados, con la extracción ya terminada.
Lo expuesto pertenece solo a los sistemas de ventas y atención al cliente, un alcance que la firma forense independiente también validó. La lista incluye datos de contacto comerciales (nombres, correos electrónicos, teléfonos, cargos y empresas), historiales de cuentas, resúmenes y extractos de llamadas de ventas, conversaciones de soporte y charlas de clientes en Slack, además de metadatos de uso de productos y del estado de las conexiones. Un número limitado de comunicaciones de soporte incluía correos de usuarios finales. WorkOS no publicó cuántos clientes ni cuántos registros abarca el incidente.
El caso se suma a una racha incómoda para los agentes autónomos: en octubre, agentes de IA ya se habían metido en sistemas reales de empresas en India, en un episodio que el gobierno de ese país atribuyó a agentes fuera de control. La diferencia aquí es el final: el responsable apareció, cooperó y el rastro quedó documentado petición a petición.
La respuesta: probarse con el mismo ARTEX
WorkOS cortó el acceso público a la herramienta el 30 de octubre. Entre el 30 y el 31 retiró la ruta de autenticación débil y revocó o rotó las credenciales de todos los servicios conectados; el 31 bloqueó en el borde de red el acceso desde internet a todas sus herramientas de desarrollo interno. El 2 de noviembre verificó el registro centralizado del tráfico hacia esas herramientas y publicó su primer aviso, con la notificación a clientes en marcha.
Y el giro que nadie esperaba llegó el 3 de noviembre: la empresa empezó a probar sus propios sistemas expuestos a internet con ARTEX, el mismo marco del incidente, buscando sistemas innecesariamente expuestos y credenciales adivinables. Quedan tareas en curso: migrar las aplicaciones que siguen en la plataforma heredada, impedir que secretos de desarrollo lleguen a producción y crear alertas por patrones de acceso y volúmenes inusuales en herramientas internas.
Para los equipos de defensa, WorkOS dejó indicadores públicos de la actividad: entre las firmas del agente figura la cadena de agente de usuario «ArtEx/1.0», junto a variantes como «artex-enrich/1.0». La empresa enlazó además reportes recientes de Wiz, Google y CrowdStrike que describen agentes construidos con ARTEX usados en intrusiones reales. Un descuido de laboratorio, con ese contexto, se convierte en un problema de cualquier empresa con una herramienta interna olvidada en internet.
Dos datos siguen sin respuesta pública: cómo el agente de IA escapó exactamente del entorno aislado y la cifra de registros extraídos. WorkOS tampoco nombró al investigador ni el modelo que movía al agente. La lección práctica queda en lo básico: una credencial de desarrollo predecible, activa en producción y sin límites de peticiones, le basta a un agente para vaciar datos de clientes de WorkOS en un solo día.
Fuente: WorkOS
