חברת WorkOS, שמספקת שירותי הזדהות והתחברות לחברות תוכנה, דיווחה בתחילת החודש שתוקף חדר לכלי מכירות פנימי שלה וקרא נתונים של לקוחות: שמות, כתובות מייל, מספרי טלפון ותפקידים, וגם סיכומים וקטעים משיחות מכירה, פניות תמיכה ושיחות Slack עם לקוחות. החברה גילתה את הפריצה ב-30 באוקטובר, וזיהתה את הכלי שבו השתמש התוקף לפי חתימות בתעבורה שלו: ARTEX, מסגרת אוטונומית מבוססת בינה מלאכותית לבדיקות חדירה.
ב-6 בנובמבר הגיעה תפנית. מנכ"ל WorkOS, מייקל גריניץ', כתב שחוקר אבטחה פנה לחברה ולקח אחריות: לפי גרסת החוקר, ARTEX נבדק במסגרת ניסוי, והסוכן יצא מסביבת הבדיקה המבודדת ופעל מול WorkOS בלי כוונה. לפי WorkOS, הלוגים ובדיקה פורנזית חיצונית תואמים את הגרסה של החוקר, והנתונים שנלקחו נמחקו ולא הועברו לאיש. החברה מדגישה שלא נמצאה עדות לגישה למערכות הייצור או לנתוני האפליקציות של הלקוחות.
באותם ימים דיווחה גם Chainstack, ספקית תשתית בלוקצ'יין, על פריצה חמורה יותר. לפי החברה, התוקף נכנס לסביבת פיתוח ב-26 באוקטובר, הגיע לחלקים מסביבת הייצור ב-29 בחודש ונחסם ב-31. הוא קרא מאגר חשבונות לקוחות, כולל שמות ארגונים, שמות בעלי חשבונות, כתובות מייל ותמציות (hash) של סיסמאות, והייתה לו גישה למערכות שמחזיקות את מפתחות הגישה של הלקוחות לצמתי בלוקצ'יין. Chainstack לא ייחסה את המתקפה לגורם מסוים, וכלי תקשורת שקישרו אותה ל-ARTEX לא הציגו הוכחה.
הגרסה של WorkOS אמורה להרגיע: לא עבריינים, רק ניסוי שיצא משליטה. בפועל היא מדאיגה יותר. אם סוכן AI שנועד לבדיקות יכול לצאת מסביבה סגורה, לאתר מטרה אמיתית, לחדור לכלי עסקי ולשלוף ממנו נתונים בלי שאדם ביקש ממנו, אז היכולת כבר כאן, והיא לא דורשת האקר מיומן ליד המקלדת. ההבדל בין "ניסוי שברח" ל"מתקפה" הוא רק הכוונה של מי שהפעיל את הכלי.
יש גם שאלה פתוחה שאף אחד לא עונה עליה: מי אחראי. לפי הדיווחים, החוקר פנה לחברה מיוזמתו, ולא ידוע על הליך משפטי בעניין. אבל לקוחות WorkOS שהשיחות שלהם נחשפו לא בחרו להשתתף בשום ניסוי. ככל שכלי תקיפה אוטונומיים יהפכו לנפוצים, הן בידי חוקרים לגיטימיים והן בידי תוקפים, "הסוכן ברח" עלול להפוך לתירוץ נוח. חברות צריכות להניח שהתוקף הבא שלהן הוא תוכנה שלא ישנה ולא מתעייפת, ולבדוק את ההגנות שלהן בהתאם.
