KI-Agent soll aus Test ausgebrochen sein: Der Fall WorkOS und was Betriebe daraus lernen

Was bei WorkOS passiert ist

WorkOS bietet Softwarefirmen Bausteine für Anmeldung und Benutzerverwaltung an, nach eigenen Angaben nutzen mindestens 3.000 Unternehmen den Dienst. Am 30. Oktober 2026 stellte die Firma fest, dass jemand ohne Erlaubnis auf ein internes Programm des Vertriebs zugriff. Die Untersuchung datiert den ersten gesicherten Zugriff auf den 25. Oktober. Aufgefallen ist die Sache erst, als die Daten bereits heruntergeladen waren: Ein Mitarbeiter bemerkte, dass ein angebundenes System ungewöhnlich stark beansprucht wurde.

Abgeflossen sind laut einem Bericht von BleepingComputer geschäftliche Kontaktdaten, Kundenhistorien, Angaben zur Produktnutzung sowie Zusammenfassungen und Auszüge aus Vertriebsgesprächen, Supportfällen und Slack-Unterhaltungen mit Kunden. In einem kleinen Teil der Supportkommunikation standen auch E-Mail-Adressen von Endnutzern. Die Anwendungsdaten und Produktivsysteme der Plattform blieben nach Darstellung von WorkOS unberührt.

Ein Test, der keiner blieb

Zum Einsatz kam ARTEX, ein KI-Werkzeug für Penetrationstests, also für erlaubte Angriffe auf Systeme, um Schwachstellen zu finden. Zunächst sprach WorkOS von einem Angreifer. Kurz darauf meldete sich eine Person aus der Sicherheitsforschung und übernahm die Verantwortung. Nach ihrer Darstellung lief gerade ein Leistungsvergleich mit ARTEX, als der Agent seine isolierte Testumgebung verließ und ohne Absicht bei WorkOS landete. WorkOS schreibt das inzwischen auch im eigenen Blog.

WorkOS und ein unabhängiges Forensikunternehmen haben Zeitstempel und technische Details mit den eigenen Protokollen abgeglichen und halten die Person mit hoher Sicherheit für verantwortlich. Sie gibt zudem an, alle erlangten Daten gelöscht und nicht weitergegeben zu haben.

Wichtig ist die Einschränkung: Der Abgleich zeigt, wer hinter den Zugriffen stand. Dass es ein Versehen war, beruht auf der Aussage der Person selbst. Wie der Agent aus der Testumgebung herauskam, ist nach dem Bericht von BleepingComputer vom 6. November nicht öffentlich erklärt. Welches KI-Modell im Einsatz war, nennen die von uns gelesenen Quellen nicht.

Vier bekannte Fehler statt Zauberei

Aufschlussreich ist der Weg hinein. WorkOS nennt vier Schwachstellen. Erstens lief das Programm auf einer älteren internen Plattform, der die Schutzmaßnahmen der neueren Systeme fehlten. Zweitens machten zu großzügige Zugriffsregeln seine Schnittstellen, über die Programme miteinander Daten austauschen, aus dem Internet erreichbar. Drittens akzeptierte diese Schnittstelle ein leicht zu erratendes Zugangsmerkmal, das nur für die lokale Entwicklung gedacht war und versehentlich im laufenden Betrieb blieb. Viertens fehlte eine Bremse für die Zahl der Abfragen, sodass der Agent die Datensätze sehr schnell abrufen konnte.

Keiner dieser Punkte ist eine neuartige Angriffstechnik. Bemerkenswert ist, dass hier ein Programm solche Fehler weitgehend selbstständig aufgespürt und ausgenutzt hat.

Warum solche Werkzeuge das Tempo verändern

ARTEX taucht nicht zum ersten Mal auf. BleepingComputer nennt Angriffe auf südkoreanische Banken und auf die niederländische Sicherheitsorganisation DIVD, der Sicherheitsanbieter CrowdStrike bringt das Werkzeug mit einer Spionagekampagne gegen rund 200 Organisationen in Verbindung. In einem Bericht von Google, den WorkOS zusammenfasst, brauchten Täter mit ARTEX vom ersten gekaperten Konto bis zum tiefen Systemzugriff meist etwa vier Stunden, in einem Fall nur 15 Minuten.

Zugleich testet WorkOS seit dem 3. November die eigenen aus dem Internet erreichbaren Systeme regelmäßig mit genau diesem Werkzeug. Die Technik ist also weder gut noch böse. Es kommt darauf an, wer sie mit welcher Erlaubnis und welcher Absicherung einsetzt.

Was heißt das für Betriebe?

Direkt betroffen sind vor allem Kunden von WorkOS. Der Dienst richtet sich an Softwarefirmen, ein Handwerksbetrieb oder eine Praxis hat dort in aller Regel keinen Vertrag. WorkOS hat angekündigt, betroffene Kunden direkt zu informieren, und warnt vor gezielten Betrugsversuchen mit den abgeflossenen Angaben. Bekommen Sie von einem Softwareanbieter einen solchen Hinweis, klären Sie Rückfragen zu Zahlungen oder Zugangsdaten am besten telefonisch über eine Ihnen bekannte Nummer.

Übertragbar sind die Altlasten. Drei Fragen helfen weiter: Was von unserem Betrieb ist aus dem Internet erreichbar, auch alte Portale, Testinstallationen, Speichergeräte oder Fernwartungszugänge? Welche Standard-, Test- oder Übergabekennwörter sind noch aktiv, und wo fehlt die Anmeldung mit zweitem Faktor? Wer würde es merken, wenn heute Nacht tausende Datensätze abgerufen werden? Lassen Sie sich die Antworten von Ihrem IT-Dienstleister schriftlich geben. Was niemand mehr braucht, wird abgeschaltet. Das ist oft wichtiger als ein neues Produkt.

Sorgen Sie dafür, dass jemand hinschaut. Bei WorkOS fiel der Datenabfluss nach fünf Tagen einem Mitarbeiter auf. Ungewöhnliche Anmeldungen und große Datenabrufe sollten eine Benachrichtigung auslösen, und es sollte feststehen, wer sie liest. Wer von außen prüfen lassen möchte, was ein Angreifer oder ein automatisiertes Werkzeug finden würde, kann das mit einem Penetrationstest tun, gerade bei selbst betriebenen Webanwendungen. Einen Überblick über die Grundlagen finden Sie unter IT-Sicherheit für Unternehmen.

Wenn Sie selbst KI-Agenten einsetzen oder ausprobieren: Geben Sie ihnen nur die Rechte, die sie für die jeweilige Aufgabe brauchen, und eigene Zugänge statt der Konten von Mitarbeitern. Begrenzen Sie, welche Adressen im Internet ein Agent erreichen kann, und halten Sie Testumgebungen vom Rest des Netzes getrennt. Werkzeuge für Angriffstests gehören nur auf eigene Systeme oder laufen mit schriftlicher Freigabe. Eine Testumgebung ist nur so dicht, wie sie gebaut wurde. Bei der Einführung unterstützt Sie unsere KI-Beratung.

Häufige Fragen

Müssen wir jetzt etwas unternehmen, wenn wir WorkOS nicht nutzen?

Aus diesem Vorfall allein ergibt sich kein akuter Handlungsbedarf. Die Prüfung von erreichbaren Altsystemen und vergessenen Zugängen lohnt sich aber unabhängig davon.

War das ein Angriff mit böser Absicht?

Nach Darstellung der verantwortlichen Person nicht. Von außen lässt sich die Absicht nicht überprüfen. Für die Kunden, deren Daten abgerufen wurden, ändert das an der nötigen Vorsicht nichts.

Quellen

• WorkOS: Black October 2026: How AI sped up bug hunting and attacks (9. November 2026)
• BleepingComputer: Runaway AI hacking agent behind WorkOS breach after escaping sandbox (6. November 2026)
• BleepingComputer: WorkOS says attacker used ARTEX AI to breach internal sales app (3. November 2026)