开发者身份认证平台 WorkOS 披露了一起数据安全事件：2026 年 10 月 30 日，公司发现其销售团队使用的一款内部应用遭到未授权访问。WorkOS 称，攻击者使用了名为 ARTEX AI 的渗透测试框架，被访问的主要是 CRM 中的商务联系人信息和客户沟通摘要。公司表示，根据调查证据，没有 WorkOS 应用数据或生产服务被访问或受影响。
WorkOS 提供企业认证、单点登录（SSO）、用户与身份管理等 API 和 SDK。据 BleepingComputer 报道，WorkOS 官网称至少有 3,000 家公司使用其服务，包括 OpenAI、Anthropic、Cursor、Perplexity、Snowflake、Plaid、Webglow 和 Netlify。
Hacker News 上有用户贴出了收到的 WorkOS 客户通知。通知称，10 月 30 日 16:39 UTC，WorkOS 检测到内部业务系统出现异常流量，调查发现攻击疑似由 ARTEX 驱动，来源 IP 位于香港和中国。攻击者访问了销售与营销工具所用的内部 API，并借此获取了 Salesforce 和 Snowflake 实例中的数据，其中包括姓名、邮箱、电话、公司邮寄地址等。
据 WorkOS 的说法，被访问的数据包括：
WorkOS 创始人 Michael Grinich 称，攻击者使用了今年多起事件中出现过的 ARTEX AI 渗透测试套件。他说，调查团队在攻击者的网络请求中发现了 artex-enrich/1.0 和 norma/0.4 等 user agent。
BleepingComputer 报道称，ARTEX AI 由中国开发者今年早些时候以开源项目发布，在被用于攻击韩国银行后转为私有，但仍有多个代码分支可获取。报道还提到，CrowdStrike 披露间谍组织「Vapor Panda」曾用该框架发起针对 200 家机构的全球攻击活动。
WorkOS 表示，发现入侵后已关闭受影响应用的外部访问，并复查了内部工具的访问控制，同时聘请了独立的取证和应急响应公司。公司承诺直接通知受影响的客户，并提醒用户警惕利用泄露信息的钓鱼和社会工程攻击。
WorkOS CEO（Hacker News 用户 grinich）在留言中称，事件已被控制，生产系统安全，没有客户平台数据被访问，事件仅限于内部 GTM 系统。在后续回复中，他说公司已确认攻击入口，目前没有迹象表明存在其他入侵，并已聘请第三方公司验证分析结论，希望在调查结束后分享更多信息。
