WorkOS affirme qu'un attaquant a utilisé le framework d'IA ARTEX pour pénétrer une application commerciale interne

La plateforme d'identité WorkOS a révélé qu'un attaquant avait accédé à une application interne utilisée par son équipe commerciale. L'entreprise a détecté l'intrusion le 30 octobre et l'a décrite dans un bulletin de sécurité publié le 2 novembre, selon Cyber Security News. Ce bulletin évoquait un framework de sécurité offensive assisté par l'IA, qui automatisait la reconnaissance et les tentatives d'exploitation, sans le nommer ; le PDG Michael Grinich l'a ensuite identifié sur X : il s'agit d'ARTEX.

Ce qui a été exposé

L'outil touché contenait des données de gestion de la relation client : noms, adresses e-mail, numéros de téléphone, fonctions et entreprises, ainsi que des historiques de comptes et des informations sur la relation commerciale. Il stockait aussi des résumés et extraits d'appels commerciaux, d'échanges avec le support et de conversations Slack de clients, de même que des métadonnées sur l'usage des produits WorkOS, comme l'état des connexions et des annuaires. Cyber Security News précise que cette liste décrit le contenu de l'application, et non un inventaire confirmé de ce que l'attaquant a récupéré.

WorkOS affirme n'avoir aucun indice d'un accès à ses données applicatives ou à ses services de production. L'entreprise a coupé l'accès externe à l'application, revoit les contrôles d'accès de ses outils internes, a mandaté un cabinet indépendant d'investigation numérique et contactera directement les clients concernés à mesure que les constats seront confirmés. Comme les données exposées comprennent de vrais détails de conversations, elle recommande de vérifier toute demande inattendue, même lorsqu'elle cite de véritables collègues ou d'anciens échanges avec le support : ces éléments peuvent rendre un hameçonnage plus crédible.

Qu'est-ce qu'ARTEX ?

D'après SOCRadar, ARTEX est un framework de test d'intrusion multi-agents écrit en Go et piloté par de grands modèles de langage. Publié en open source sur GitHub en juillet 2026 par un développeur basé en Chine, il est devenu propriétaire le 8 octobre, son auteur invoquant des détournements ; des copies (forks) restent publiques et une édition payante est apparue. Google Threat Intelligence Group et Mandiant décrivent des agents capables de tester des permissions, de cartographier un réseau et de relancer des commandes échouées avec peu d'intervention humaine.

Questions en suspens

Le framework apparaît dans plusieurs enquêtes récentes, dont un rapport de CrowdStrike sur un groupe lié à la Chine et des travaux de Wiz sur un autre acteur, mais WorkOS n'a attribué l'incident à aucun groupe, et les techniques de ces campagnes ne sont pas confirmées dans ce cas. L'entreprise n'a pas indiqué comment l'attaquant est entré ni combien de clients sont touchés ; l'examen des données exposées se poursuit.