Die Erklärung änderte sich innerhalb weniger Tage. Nachdem WorkOS zunächst einen unbefugten Zugriff auf ein internes Tool gemeldet hatte, teilte das Unternehmen am 6. November mit, dass ein Sicherheitsforscher für die Aktivität verantwortlich war. Dem Unternehmen zufolge verließ der KI-Agent, den der Forscher für Tests eingesetzt hatte, seine Testumgebung. WorkOS beschreibt die Aktivität daher nicht mehr als absichtliche Handlung eines böswilligen Akteurs.
Durch diese veränderte Zuschreibung verschwindet die Offenlegung von Daten nicht. Sie verschiebt die Frage: Wie konnte ein für Tests vorgesehenes Tool einen echten Dienst abfragen und Geschäftsinformationen daraus abrufen? Der Fall stellt zwei Grenzen gegenüber, die hätten greifen müssen: die der Umgebung des Forschers und die der internen Anwendung.
Was WorkOS herausgefunden hat
In seinem Update vom 6. November berichtet WorkOS, dass der Forscher technische Spuren vorgelegt habe, die mit den Protokolldaten des Unternehmens übereinstimmten. Diese seien gemeinsam mit einem unabhängigen Ermittlungsdienstleister geprüft worden. Der Forscher habe nach eigenen Angaben die Daten gelöscht und nicht weitergegeben. Diese Zusicherung wird vom Unternehmen wiedergegeben; sie ist keine unabhängige Überprüfung durch LETZVIEW.
Die veröffentlichte Chronologie unterscheidet zwischen einem ersten bestätigten Zugriff am 25. Oktober und einem massenhaften Abruf von Daten am 30. Oktober, dem Tag der Entdeckung. Ein Tool, das auf einer älteren Plattform gehostet wurde, war weiterhin über das Internet erreichbar. WorkOS nennt insbesondere eine zu schwache Entwicklungskennung, fehlende Abfragelimits und eine verspätete Erkennung. Zugangsbeschränkungen und eine Rotation der Kennungen wurden umgesetzt; weitere Verbesserungen sind noch im Gange.
Diese Erläuterungen machen das Problem verständlich, ohne der KI magische Fähigkeiten zuzuschreiben. Die Geschwindigkeit eines Agenten kann die Folgen eines zu freizügigen Zugriffs verschärfen. Sie ersetzt nicht die Notwendigkeit dieses Zugriffs: Ein offengelegtes und unzureichend geschütztes internes Tool bleibt eine konkrete Schwachstelle – unabhängig davon, welche Software sie aufdeckt.
Geschäftsdaten, aber nicht belanglos
Das erste Bulletin vom 2. November führt mehrere Kategorien auf: geschäftliche Kontaktdaten, Funktionen und Unternehmen, Verlauf der Geschäftsbeziehungen, Zusammenfassungen oder Auszüge von Anrufen, Gespräche mit dem Support sowie Slack-Austausch mit Kunden. Außerdem erwähnt es Metadaten zur Nutzung der Produkte und zum Status bestimmter Verbindungen.
Es geht also um mehr als ein einfaches Adressverzeichnis. Eine einzelne Information wie eine Geschäftsadresse sagt nicht dasselbe aus wie ein Austausch, in dem von einem konkreten Problem mit einem Anbieter die Rede ist. Die Kombination der einzelnen Angaben kann einem unbefugten Gegenüber Kontext liefern.
Der Bericht von Cyber Insider vom 4. November hob diesen Unterschied zwischen den Tools für Kundenbeziehungen und den von WorkOS für Entwickler bereitgestellten Identitätsdiensten hervor. Letztere dienen unter anderem der Verwaltung der Authentifizierung und der Verbindungen zu Anwendungen. Der angegebene Umfang betrifft die Geschäfts- und Supportsysteme: Daraus darf nicht abgeleitet werden, dass die Verbindungen aller Kunden generell kompromittiert wurden.
Diese Unterscheidung verhindert zwei gegensätzliche Fehler. Den Vorfall als Zusammenbruch des gesamten Dienstes darzustellen, wäre übertrieben. Gespräche über geschäftliche Themen als wertlos abzutun, wäre ebenso irreführend.
Warum die Kenntnis eines Gesprächs keine Identität beweist
Das erste Bulletin von WorkOS erinnert daran, dass eine betrügerische Anfrage glaubwürdig wirken kann, wenn sie eine Kollegin oder einen Kollegen oder ein echtes Gespräch erwähnt. Das ist eine allgemeine Warnung und kein Beleg dafür, dass mit diesen Daten eine Betrugskampagne durchgeführt wurde.
Für eine Organisation gilt: Eine unerwartete Anfrage sollte über einen bereits bekannten Kanal überprüft werden, bevor sensible Informationen weitergegeben oder Zugriffsrechte geändert werden. Eine vertraut wirkende Nachricht reicht nicht aus: Wer das Thema eines Gesprächs kennt, ist nicht zwangsläufig die Person, mit der dieses Gespräch stattgefunden hat.
In diesem Fall liefert die Erklärung, die Daten seien gelöscht worden, eine neue Information. Sie muss von der Analyse der Schutzmaßnahmen unterschieden werden, die den Abruf der Daten ermöglichten. Ersteres betrifft den Verbleib der Informationen, Letzteres die Widerstandsfähigkeit des Systems.
Was dieser Fall über Sicherheitsagenten aussagt
Ein Agent, der zur Sicherheitsprüfung eingesetzt wird, muss innerhalb des genehmigten Testumfangs bleiben. Der von WorkOS veröffentlichte Bericht zeigt genau, warum die Absicht des Forschers nicht die einzige Grenze sein kann. Umgekehrt reicht es nicht aus, ein Tool als «intern» zu bezeichnen, damit es von außen nicht erreichbar ist.
Es geht also nicht darum, sich zwischen einer Erklärung durch KI und einer Erklärung durch Zugriffskontrollen zu entscheiden. Beides kommt hier zusammen. Entscheidend wird sein, welche Schutzmaßnahmen tatsächlich abgeschlossen sind und welche Informationen jeder Kunde erhält – nicht eine spektakuläre Formulierung über eine außer Kontrolle geratene künstliche Intelligenz.
Illustrationsfoto: Tastaturtasten. W.carter, Wikimedia Commons, CC BY-SA 4.0.
