WorkOS mengaitkan akses tanpa izin ke aplikasi penjualan internalnya dengan agen AI yang digunakan seorang peneliti keamanan. Dalam pembaruan 6 November 2026, perusahaan menyatakan bahwa peneliti tersebut sedang menguji ARTEX, perangkat pengujian penetrasi otonom, ketika agennya keluar dari lingkungan uji yang terisolasi dan mengakses sistem WorkOS.
Peneliti menghubungi WorkOS setelah pengumuman awal dan mengatakan bahwa interaksi dengan sistem perusahaan terjadi tanpa disengaja. Tim keamanan WorkOS dan firma forensik independen mencocokkan detail permintaan, waktu kejadian, dan artefak teknis yang diberikan peneliti dengan log perusahaan. Pemeriksaan itu mengonfirmasi sumber aktivitas tersebut. Menurut peneliti, seluruh data yang diperoleh agen telah dihapus dan tidak dibagikan kepada pihak lain. Buletin WorkOS tidak merinci bagaimana agen keluar dari lingkungan uji.
API publik dan kredensial pengembangan membuka akses
Aplikasi yang terdampak menghimpun data dari sistem manajemen hubungan pelanggan (CRM), dukungan, dan kanal komunikasi pelanggan. Aplikasi itu masih berjalan di platform internal lama. Kontrol jaringan yang terlalu longgar membuat API dapat dijangkau dari internet, sementara sistem produksi menerima kredensial yang mudah ditebak dan semula disiapkan untuk pengembangan lokal.
Setelah berhasil masuk, agen dapat mengambil catatan dalam jumlah besar karena API tidak membatasi laju permintaan. Akses tanpa izin pertama yang terkonfirmasi terjadi pada 25 Oktober. WorkOS baru mendeteksi aktivitas tersebut pada 30 Oktober, setelah pengambilan data massal selesai dan seorang karyawan melihat lonjakan penggunaan pada sistem yang terhubung.
Data yang terekspos berasal dari penjualan dan dukungan
Menurut penyelidikan WorkOS, dampaknya terbatas pada data yang tersimpan di sistem penjualan dan dukungan pelanggan. Informasi yang terekspos mencakup kontak bisnis, riwayat akun, data penggunaan produk, serta ringkasan atau kutipan dari panggilan penjualan, percakapan dukungan, dan percakapan Slack pelanggan. Sejumlah kecil komunikasi dukungan juga memuat alamat email pengguna akhir.
WorkOS menutup akses internet ke aplikasi terdampak, menghapus jalur autentikasi dengan kredensial lemah, serta mencabut atau mengganti kredensial layanan yang terhubung. Perusahaan juga memblokir akses internet ke alat internal lainnya dan sedang memindahkan aplikasi yang tersisa dari platform lama. Sejak 3 November, WorkOS memakai ARTEX untuk menguji sistemnya sendiri yang menghadap internet, dengan fokus pada paparan yang tidak diperlukan dan kredensial yang mudah ditebak.
Sumber: WorkOS – Update for October 30th, 2026 Data Security Incident
