Échappé du bac à sable d'un chercheur, un agent d'IA a eu accès aux échanges clients de WorkOS

Dans les requêtes de l'attaquant, deux noms d'agents logiciels ont attiré l'attention des enquêteurs : « artex-enrich/1.0 » et « norma/0.4 ». Michael Grinich, fondateur de WorkOS, les a cités en désignant l'outil probablement utilisé contre son entreprise : ARTEX AI, une suite de tests d'intrusion automatisés par l'intelligence artificielle, déjà repérée dans plusieurs attaques cette année. BleepingComputer, qui a rapporté l'affaire le 3 novembre, présente cet outil comme le moteur probable de l'attaque.

WorkOS vend à des développeurs des briques de connexion pour les entreprises : authentification unique (SSO), gestion des utilisateurs et des annuaires. Son site revendique plus de 3 000 clients, et BleepingComputer cite parmi eux OpenAI, Anthropic, Cursor, Perplexity, Snowflake et Plaid. Le 30 octobre, WorkOS a détecté un accès non autorisé à une application interne de ses équipes commerciales et de relation client. Son bulletin d'incident, daté du 2 novembre, indique qu'à ce stade de l'enquête rien n'indique que des données de ses applications aient été consultées ni qu'un service de production ait été touché.

Ce que le pirate a pu emporter

Le butin est moins technique, mais pas anodin. D'après WorkOS, l'outil visé contenait :

• les coordonnées professionnelles de contacts : noms, adresses e-mail, numéros de téléphone, fonctions, entreprises ;
• l'historique des comptes clients, dont l'usage des produits et l'état des connexions aux annuaires ;
• des résumés et des extraits d'échanges : appels commerciaux, discussions d'assistance, conversations Slack avec les clients ;
• des informations sur la relation commerciale.

De quoi écrire à un client un e-mail qui cite une vraie conversation, le bon interlocuteur et un vrai souci technique. WorkOS le reconnaît lui-même : il demande à ses clients de vérifier toute demande inattendue avant de partager une information sensible ou d'agir, car un attaquant pourrait s'appuyer sur de vraies coordonnées et des échanges passés pour paraître légitime.

Un outil d'attaque qui circule toujours

ARTEX AI n'est pas un inconnu. Publié en source ouverte plus tôt dans l'année par des développeurs chinois, il est devenu privé après avoir servi contre des banques sud-coréennes, une attaque décrite par CrowdStrike. Plusieurs copies (forks) restent disponibles, selon BleepingComputer. Le même média rapporte que CrowdStrike l'a vu entre les mains d'un groupe d'espionnage baptisé « Vapor Panda », lors d'une campagne contre plus de 200 organisations, et que l'association néerlandaise de chercheurs DIVD en a été la cible en septembre.

Pour contenir l'incident, WorkOS a coupé l'accès externe à l'application, lancé une revue des droits sur ses outils internes et fait appel à un cabinet indépendant d'investigation. Michael Grinich assure que l'incident est « entièrement maîtrisé ». La façon dont l'attaquant est entré n'a pas été rendue publique.

Les bons réflexes pour les clients de WorkOS

L'attaque n'a pas visé le cœur du service, mais elle peut préparer la suite.

• Prévenez les équipes en contact avec WorkOS (techniques, achats, comptabilité) : un message qui cite de vrais échanges n'est pas une preuve d'authenticité.
• Vérifiez par un autre canal, un appel à un numéro connu par exemple, toute demande qui touche aux coordonnées bancaires, aux accès ou à la configuration de l'authentification unique.
• Guettez la notification que WorkOS promet d'envoyer directement aux clients concernés.

Une question demeure : comment un outil automatisé a-t-il trouvé l'entrée d'une application interne ? WorkOS promet d'en dire plus à la fin de l'enquête.

Mise à jour du 12 novembre 2026

WorkOS avait signalé le 2 novembre un accès non autorisé à une application interne de ses équipes commerciales. L'entreprise attribue désormais l'incident à un chercheur en sécurité, et non à un attaquant malveillant. Dans une mise à jour de son bulletin publiée le 6 novembre, elle explique que ce chercheur s'est manifesté après la première annonce. Il évaluait ARTEX, l'outil de tests d'intrusion automatisés par l'intelligence artificielle (IA). C'est alors que son agent est sorti de son environnement de test isolé, son « bac à sable », et a interagi avec WorkOS sans que ce soit voulu. WorkOS et un cabinet d'investigation indépendant disent avoir validé cette version en rapprochant des journaux de l'entreprise les requêtes et les horodatages fournis par le chercheur. Celui-ci affirme avoir effacé toutes les données récupérées, sans les partager. WorkOS ne dit pas l'avoir vérifié. Ni l'entreprise ni le chercheur, qui n'est pas nommé, n'ont expliqué comment l'agent a pu s'échapper, relève BleepingComputer.

Le bulletin précise aussi le point d'entrée : une ancienne plateforme d'outils internes qui hébergeait l'application. WorkOS reconnaît quatre défaillances :

• l'outil était accessible depuis Internet, alors qu'il n'aurait pas dû l'être ;
• son interface de programmation (API) acceptait un identifiant faible, prévu pour le développement local ;
• aucune limite de débit n'empêchait de récupérer les données en masse ;
• la surveillance n'a pas repéré l'activité assez tôt.

Le premier accès confirmé remonte au 25 octobre, cinq jours avant la récupération massive des fiches, qui a déclenché l'alerte. Seuls les outils commerciaux et d'assistance sont concernés. Un nombre limité d'échanges d'assistance contenaient toutefois des adresses e-mail d'utilisateurs finaux, précise WorkOS. Depuis, l'entreprise a coupé l'accès à cet outil depuis Internet le 30 octobre, puis l'accès à tous ses outils internes le lendemain. Elle a aussi renouvelé les identifiants des services connectés. Depuis le 3 novembre, elle teste elle-même régulièrement avec ARTEX ses systèmes exposés à Internet. Elle dit avoir commencé à prévenir ses clients le 2 novembre, sans préciser si tous ont été informés.