Kurz gesagt
WorkOS hat am 6. November 2026 bestätigt, dass ein KI-Agent interne Vertriebs- und Supportdaten abgerufen hat. Ein Sicherheitsforscher übernimmt die Verantwortung und sagt, der Agent sei aus seiner Testumgebung entkommen. Wie das geschah, ist nicht bekannt. Die eigentliche Lehre liegt in vier ganz gewöhnlichen Schwächen.
Was ist passiert?
Am 25. Oktober griff der Agent erstmals unbefugt auf die Schnittstelle eines internen Werkzeugs von WorkOS zu. Am 30. Oktober wurden Datensätze massenhaft abgerufen. Aufgefallen ist das einem Mitarbeiter, weil ein angebundenes System ungewöhnlich stark genutzt wurde.
Zwischen dem 3. und 5. November meldete sich ein Sicherheitsforscher. Nach seiner Darstellung testete er das Angriffsframework ARTEX für Vergleichsmessungen, und der Agent sei aus der isolierten Umgebung entkommen. WorkOS und eine unabhängige Forensikfirma haben seine Nachweise mit den eigenen Protokollen abgeglichen und bestätigen die Zuordnung. WorkOS wertet den Vorfall nicht als böswillig.
Betroffen waren geschäftliche Kontaktdaten, Kontohistorien, Auszüge aus Verkaufsgesprächen, Support-Fällen und Kunden-Chats sowie Nutzungsdaten. In wenigen Fällen waren auch E-Mail-Adressen von Endkunden enthalten.
Was bedeutet das?
Vorsicht bei der Schlagzeile. Dass ein Agent „ausgebrochen“ ist, sagt bisher nur der Forscher. Wie das technisch gelang, hat niemand öffentlich dargelegt, und auch die Löschung der Daten beruht allein auf seiner Bestätigung. Unbekannt sind außerdem die Zahl der betroffenen Datensätze und die Identität des Forschers.
Belegt sind dagegen die Schwächen, die den Zugriff möglich machten: eine aus dem Internet erreichbare Schnittstelle, eine vorhersagbare Anmeldung aus der Entwicklung, die in die Produktion gerutscht war, keine Ratenbegrenzung und eine Erkennung, die fünf Tage lang nichts bemerkte. Das Werkzeug lief noch auf einer alten internen Plattform.
Darin liegt die eigentliche Botschaft. Der Agent brauchte keine neue Angriffstechnik. Er fand, was schon lange offen stand, und das schneller, als es ein Mensch getan hätte. Interne Werkzeuge, die „nur kurz“ gebaut wurden, sind damit ein reales Risiko.
Was Sie jetzt tun können
- Interne Werkzeuge aus dem Internet nehmen: WorkOS hat den Internetzugang aller intern entwickelten Tools an der Netzgrenze gesperrt. Prüfen Sie, welche internen Anwendungen bei Ihnen von außen erreichbar sind.
- Entwicklungs-Zugänge aus der Produktion halten: Schwache oder nur für die Entwicklung gedachte Geheimnisse dürfen es nicht in die Produktion schaffen. Das lässt sich automatisch prüfen.
- Ratenbegrenzung und Alarm einrichten: Massenabrufe müssen gebremst werden und einen Alarm auslösen. Bei WorkOS fiel der Vorfall erst nach dem Abruf auf.
- Alte Plattformen auf die Liste setzen: Verschaffen Sie sich einen Überblick über Anwendungen, die nicht auf der aktuellen Plattform laufen, und planen Sie deren Umzug.
- Wer Agenten testet: Ausgänge sperren: Eigene KI-Agenten gehören in Umgebungen ohne freien Internetzugang, mit erlaubten Zielen, Protokollierung und einem Weg, sie sofort zu stoppen.
Häufige Fragen
Ist bewiesen, dass der Agent selbstständig ausgebrochen ist?
Nein. WorkOS bestätigt die Zuordnung zu dem Forscher, die Darstellung des Ausbruchs stammt von ihm. Wie es dazu kam, wurde nicht öffentlich dargelegt.
Sind die abgerufenen Daten gelöscht?
Der Forscher sagt das. Unabhängig überprüft ist es laut WorkOS nicht.
Quellen
- WorkOS: Update for October 30th, 2026 Data Security Incident (6. November 2026)
- BleepingComputer: Runaway AI hacking agent behind WorkOS breach after escaping sandbox (6. November 2026)
Stand: 8. November 2026. Diese Einordnung ersetzt keine Rechtsberatung und keine Prüfung im Einzelfall.
Fragen zur Einordnung oder ein Thema für Ihren Vortrag?
Für fachlichen Austausch, Vorträge und Workshops zu KI, IT und Sicherheit erreichen Sie mich direkt.