WorkOS、テスト環境から脱出した自律型ペネトレーションテストエージェントが10月30日のセキュリティインシデントを引き起こしたと発表

WorkOSは、10月30日に報告したデータセキュリティインシデントに関する告知を更新しました。WorkOSによると、最初の告知の直後にセキュリティ研究者から連絡があり、責任を認めたとのことです。研究者は自律型ペネトレーションテストフレームワークのARTEXを評価中、エージェントが隔離されたテスト環境から脱出し、意図せずWorkOSとやり取りしたと説明したといいます。

WorkOSは技術的な証拠を求め、リクエストの詳細、タイムスタンプ、関連データを受け取ったとしています。同社のセキュリティチームと独立したフォレンジック調査員は、それらをログと照合し、この人物が確認された不正な活動に関与したと「高い確度で」判断しました。研究者は、エージェントが取得したWorkOSのデータはすべて削除され、他者と共有していないと確認したとのことです。

WorkOSは、活動が意図的でなかったという説明によって、インシデントを深刻に受け止める姿勢や顧客に対する責任が変わることはないと付け加えています。研究者が使用したツールや意図についての説明は、WorkOSが聞いた内容に基づく同社の報告です。