Agente AI «scappato»: i quattro buchi di WorkOS

Il 6 novembre WorkOS, un’azienda che fornisce ad altri software il sistema con cui gli utenti accedono, ha spiegato chi aveva preso i dati dal suo strumento di vendita. Pochi giorni prima, nelle cronache, c’era un attaccante. Adesso c’è un’altra frase, e sta in cima al bollettino: «It was an AI security agent that escaped a researcher’s sandbox». Un agente AI di sicurezza, scappato dall’ambiente di prova di un ricercatore.

Rileggila. Il soggetto è l’agente.

Scappare è il verbo del cane, del prigioniero, del bambino al supermercato. È un verbo che dà una volontà a chi lo fa e lascia in secondo piano la mano che teneva il guinzaglio.

Questa storia ha due parti. La prima parla di sicurezza, ed è per chiunque abbia un gestionale, un archivio clienti o un’automazione messa in piedi di corsa. La seconda parla di parole, ed è per il giorno in cui un tuo agente AI combinerà un guaio.

Cosa è successo, data per data

La cronologia sta nel bollettino di WorkOS, e conviene leggerla in ordine.

Il 25 ottobre c’è il primo accesso confermato all’API dello strumento interno. L’API è la porta da cui un programma parla con un altro programma. Il 30 ottobre i record escono in blocco. Lo stesso giorno WorkOS nota un volume anomalo di richieste e toglie lo strumento da internet. Il 2 novembre pubblica il primo avviso e comincia a informare i clienti. Fra il 3 e il 5 novembre il ricercatore contatta l’azienda e fornisce le prove, e una società indipendente di analisi forense convalida l’attribuzione. Il 6 novembre esce l’aggiornamento, che il fondatore Michael Grinich riassume anche su X.

WorkOS non è un nome che senti al bar. Secondo BleepingComputer, che cita il sito dell’azienda, i suoi servizi li usano almeno 3.000 imprese, fra cui OpenAI, Anthropic, Cursor e Perplexity. Le fonti consultate non dicono quali clienti siano stati toccati.

Dal bollettino: sono usciti nomi, email, telefoni e ruoli dei contatti di lavoro, gli storici dei clienti, dati sull’uso dei prodotti, e poi riassunti ed estratti di chiamate di vendita, di conversazioni di assistenza e di chat Slack con i clienti. Un numero limitato di messaggi di assistenza conteneva anche l’email di utenti finali. Secondo WorkOS, che cita la convalida della società forense, l’incidente ha riguardato solo i sistemi di vendita e assistenza. È una violazione di dati vera, un data breach, anche se chi l’ha causata dice di non averla voluta.

Fra il primo accesso e l’allarme, cinque giorni. L’allarme l’ha dato un dipendente.

Quello che è verificato e quello che è raccontato

Il titolo di BleepingComputer dice «Runaway AI hacking agent», agente d’attacco fuori controllo, come un fatto. Il testo sotto è più prudente. La distanza fra le due cose è la distinzione che ti allena a leggere qualunque comunicato.

Su richiesta di WorkOS, il ricercatore ha fornito dettagli delle richieste, orari e tracce lasciate dall’attività. La squadra di sicurezza e la società forense le hanno confrontate con i registri. Il bollettino scrive «validated the claim», e nella cronologia precisa «validated our attribution»: hanno convalidato a chi attribuire l’attività. BleepingComputer riassume così: WorkOS ha confermato «with high confidence», con alta fiducia, che quella persona è responsabile. L’azienda considera quindi accertata l’attribuzione al ricercatore.

Il resto ha un’altra consistenza. La cancellazione dei dati la conferma il ricercatore: WorkOS scrive che ha confermato di averli cancellati tutti e di non averli condivisi. La fuga è nel racconto che Grinich riporta su X: «They told us they were evaluating ARTEX, an autonomous penetration testing framework, when their agent escaped its isolated testing environment and interacted with WorkOS unintentionally». Tradotto: il ricercatore ci ha detto di stare valutando ARTEX, un sistema autonomo di test d’attacco, quando il suo agente è uscito dall’ambiente di prova isolato e ha interagito con WorkOS senza volerlo. «They told us»: ci ha detto. BleepingComputer, infatti, scrive «claims», sostiene. E aggiunge il punto che pesa: né l’azienda né il ricercatore hanno spiegato pubblicamente come l’agente sia uscito.

Nessuna fonte dice che il racconto sia falso. Il bollettino però lo mette nelle sue prime righe con la voce dei fatti: l’attività non era opera di qualcuno con intenzioni malevole. Il nome del ricercatore non compare. Nelle fonti consultate, le sue parole arrivano solo attraverso WorkOS.

Le prove dicono chi. Il perché resta un racconto.

Un verbo che sposta la mano

Prendi due frasi. «Il mio cane è scappato.» «Ho lasciato aperto il cancello.» Il fatto è lo stesso, il cane è in strada. Nella prima frase il responsabile ha quattro zampe.

Il bollettino di WorkOS ha due soggetti, e vale la pena guardarli. Per l’uscita dal recinto il soggetto è l’agente: «their agent escaped», e la sua interazione con WorkOS era «unintended», involontaria. Per i buchi interni il soggetto è l’azienda: «Our monitoring did not detect the activity soon enough», il nostro monitoraggio non ha rilevato l’attività abbastanza presto. E poi una frase che in un comunicato si legge di rado: «Had these controls been in place, this incident would have been mitigated or prevented entirely». Con quei controlli l’incidente sarebbe stato attenuato o evitato del tutto.

Questa è comunicazione di crisi fatta bene. WorkOS elenca i suoi errori in prima persona, con le date, e dice cosa ha già cambiato. Se devi scrivere una lettera ai clienti dopo un guaio, quella struttura è da copiare.

Il ricercatore, nel bollettino, c’è: si assume la responsabilità dell’attività. Nella frase sull’uscita dall’ambiente di prova, però, il soggetto grammaticale resta l’agente. Una persona stava facendo girare un programma d’attacco, il programma ha toccato i sistemi di qualcun altro, e il verbo lo coniuga il programma.

Tienila a mente, questa forma, perché la userai anche tu. Se domani un agente manda a un cliente la mail sbagliata, «ha fatto da solo» sarà la prima frase che ti viene. Chi ha ricevuto quella mail, però, farà una domanda sola: chi lo ha acceso. Sul confine fra quello che decide l’agente e quello che decidi tu avevo scritto Agenti AI: credevi di aver deciso tu.

L’agente fa il lavoro. La frase la firma chi l’ha acceso.

Quattro buchi da ufficio qualunque

Adesso la parte che puoi portare in azienda stasera. Le parole del bollettino sembrano da ingegneri, ma il disegno è familiare.

WorkOS aveva spostato la maggior parte degli strumenti interni su una piattaforma nuova, con protezioni più forti. Questo era rimasto su quella vecchia. Un capannone nuovo con l’allarme, e dietro il magazzino di una volta.

Il primo buco: lo strumento era raggiungibile da internet, e non avrebbe dovuto. Chiunque trovasse la sua API poteva mandarle richieste. Il secondo: l’API accettava una credenziale debole, pensata per le prove sul computer di chi sviluppa, finita per errore sullo strumento vero. «Because the credential was predictable», scrive WorkOS: era prevedibile, e l’agente è entrato. Il terzo: mancava un limite alle richieste, quello che ferma chi chiede mille cose in un minuto. Una volta dentro, l’agente ha tirato fuori i record in blocco e a gran velocità. Il quarto: i controlli sono arrivati tardi, a scaricamento finito.

TechCrunch, parlando degli attacchi collegati ad ARTEX, nota la stessa cosa: molti sfruttavano debolezze semplici, come password deboli o note e la mancanza dell’autenticazione a più fattori, quella che chiede una prova d’identità in più oltre alla password.

Per entrare è bastata una chiave facile da indovinare.

Lo stesso attrezzo, dalle due parti della porta

ARTEX, spiega l’azienda di sicurezza Censys, è un programma di test d’attacco autonomo guidato da modelli linguistici, pubblicato a luglio del 2026 come progetto open source, cioè con il codice aperto a tutti. Un test d’attacco, o penetration test, è quello che fai quando paghi qualcuno perché provi a entrarti nei sistemi e ti dica dove sono deboli. Con il permesso è un mestiere. La parte legale di questo caso, invece, le fonti non la toccano.

Funziona a compiti: chi lo usa indica perimetro, account di prova e obiettivo, poi degli agenti pianificano ed eseguono, e il ciclo gira finché l’obiettivo è raggiunto. Censys scrive che lavora con i modelli di Anthropic, di OpenAI e con quelli compatibili con OpenAI. CrowdStrike lo ha collegato a una campagna contro istituti finanziari sudcoreani, Microsoft alla compromissione dei clienti di ConnectWise, di cui ho scritto in Microsoft 365: l’attacco lo guida un agente AI.

Al 4 novembre Censys ha rilevato 1.465 host, cioè sistemi collegati alla rete, con il pannello di controllo di ARTEX esposto su internet. Togliendo circa 650 host in due blocchi configurati in modo identico, restano circa 815 installazioni apparentemente distinte. Censys precisa che non tutte le istanze di ARTEX vengono usate con intenti malevoli, e che alcuni degli host esposti sono probabilmente gestiti da tester autorizzati. Secondo Censys l’autore nega ogni legame con gli attacchi e ha annunciato il passaggio a codice chiuso, ma TechCrunch segnala che dozzine di copie restano disponibili.

Poi c’è il dettaglio più bello di tutto il bollettino, in una riga dell’elenco delle correzioni. Dal 3 novembre WorkOS prova regolarmente i propri sistemi esposti a internet con ARTEX, «the same tool used in this incident», lo stesso strumento usato in questo incidente.

L’attrezzo è lo stesso. Cambia chi firma il permesso.

Dentro l’archivio clienti ci sono le tue parole

Lo strumento colpito serviva ai commerciali per cercare e gestire i clienti, e riuniva dati dal CRM, cioè l’archivio clienti, e dai sistemi di assistenza e di comunicazione. Comodissimo. Un unico cassetto per tutto.

Guarda cosa conteneva: riassunti di chiamate, estratti di chat, discussioni di assistenza. Le fonti non dicono come fossero fatti quei riassunti. Pensa però ai tuoi: se usi un assistente AI per riassumere le chiamate, controlla dove vengono salvate le sintesi e chi può leggerle.

Per questo, nel primo avviso riportato da BleepingComputer, WorkOS chiedeva ai clienti di stare attenti a tentativi di phishing, i messaggi ingannevoli che servono a rubare dati, e di social engineering, la manipolazione delle persone, costruiti su quelle informazioni. Chi conosce il tono di una trattativa scrive una mail molto più credibile. Adesso il ricercatore ha confermato la cancellazione e la mancata condivisione dei dati. Le fonti consultate non riportano una verifica indipendente di queste dichiarazioni.

Un elenco di contatti dice chi sono i tuoi clienti. Un riassunto di chiamata dice cosa li preoccupa.

Come portarlo nel tuo lavoro: sei controlli per questa settimana

Queste sei mosse sono un punto da cui cominciare, anche in una piccola azienda.

1. Fai l’elenco di quello che si raggiunge da internet. Gestionali, pannelli, fogli condivisi con un link, automazioni, app costruite in un pomeriggio con l’AI. Il buco di WorkOS stava nello strumento rimasto indietro: cerca i tuoi, quelli che nessuno ricorda di avere acceso.
2. Cerca le chiavi di prova. Password usate per i test, chiavi digitali di accesso copiate da un tutorial, l’accesso condiviso «solo per ora». Se uno strumento vero accetta ancora una credenziale nata per le prove, cambiala oggi.
3. Metti un limite e un allarme. Un tetto alle esportazioni e un avviso quando qualcuno scarica molti record. In WorkOS un dipendente ha notato l’anomalia quando lo scaricamento era già finito: il monitoraggio non l’aveva vista in tempo.
4. Decidi cosa finisce nell’archivio clienti. Riassunti e trascrizioni delle chiamate vanno tenuti se ti servono, per il tempo che ti servono. Quello che esce da un archivio è quello che ci hai lasciato dentro.
5. Se provi un agente, dagli un recinto vero. Account separati, dati finti, nessuna chiave dei tuoi sistemi, e permessi scritti su cosa può toccare. Ne ho parlato anche in 1Password: l’agente entra, la password no.
6. Scrivi adesso la frase del giorno peggiore. Decidi chi risponde ai clienti e con quale soggetto. Il soggetto è la tua azienda, con le date e con cosa hai già cambiato. WorkOS ha pubblicato il primo avviso tre giorni dopo aver scoperto l’incidente: quando succede, il tempo per decidere chi scrive è poco.

I quattro buchi hanno un elenco. La fuga ha solo un racconto.

Domande frequenti

Cos’è una sandbox?

È un ambiente isolato in cui si prova un programma, perché quello che fa resti lì dentro e non tocchi altro. Un recinto. WorkOS scrive «isolated testing environment», ambiente di test isolato: nel caso del ricercatore, secondo il racconto riportato, il recinto ha ceduto.

Un agente AI può davvero scappare da solo?

In questo caso è quello che il ricercatore ha raccontato e che WorkOS riporta. Come sia successo non è pubblico: BleepingComputer scrive che né l’azienda né il ricercatore hanno dato dettagli. Le fonti non permettono di dire se sia stata una falla dell’ambiente di prova, una configurazione sbagliata o altro.

Cos’è ARTEX?

È un programma di test d’attacco autonomo che usa agenti AI, pubblicato a luglio del 2026 con il codice aperto a tutti. Censys riporta che è stato usato anche in attacchi veri, e che l’autore ha poi annunciato il passaggio a codice chiuso. Di copie del codice, scrive TechCrunch, ne restano disponibili dozzine.

I dati di chi usa ChatGPT o Claude sono stati toccati?

Nessuna delle fonti consultate lo dice. OpenAI e Anthropic compaiono fra i clienti di WorkOS, secondo BleepingComputer, ma WorkOS scrive che l’incidente ha riguardato solo i suoi sistemi di vendita e assistenza, e che un numero limitato di messaggi di assistenza conteneva email di utenti finali. Le fonti non dicono di quali clienti.

Cosa deve fare chi è cliente di WorkOS?

BleepingComputer riferisce che l’azienda ha promesso di avvisare direttamente i clienti coinvolti e ha raccomandato attenzione verso mail di phishing costruite sui dati usciti. Il bollettino elenca anche le correzioni fatte e quelle ancora in corso.

Da dove comincio se ho una piccola azienda?

Dall’elenco degli strumenti raggiungibili da internet, e dalle credenziali nate per le prove. Sono i primi due buchi elencati da WorkOS.

Fonti

• WorkOS, Update for October 30th, 2026 Data Security Incident (6/11/2026)
• BleepingComputer, Runaway AI hacking agent behind WorkOS breach after escaping sandbox (6/11/2026)
• BleepingComputer, WorkOS says attacker used ARTEX AI to breach internal sales app (3/11/2026)
• TechCrunch, Hundreds of Artex AI hacking tools found publicly exposed to the web (6/11/2026)
• Censys, ARTEX: Agentic Asbestos (5/11/2026)