Botpress: un intruso ha letto la configurazione dei bot di 16 clienti, insieme alle chiavi API che conteneva
La piattaforma di agenti conversazionali Botpress rivela che un aggressore, sfruttando una falla nel suo proxy di autenticazione interno, ha letto a ottobre la configurazione dei bot di 16 spazi clienti. Le chiavi API dei provider di IA, i token di messaggistica e gli accessi CRM ivi presenti devono essere considerati esposti.
Un agente conversazionale vale solo quanto i servizi che vi si collegano, e ogni collegamento lascia una chiave nella sua configurazione. È questo mazzo di chiavi che un intruso ha potuto leggere da Botpress, piattaforma di creazione di bot e agenti. In un avviso di incidente pubblicato il 6 novembre, il suo direttore tecnico, Michael Masson, spiega che un aggressore ha letto in ottobre la configurazione dei bot di 16 spazi clienti.
Un proxy interno, poi l’account di un dipendente
Tutto parte da una falla nel proxy di autenticazione che protegge diversi strumenti interni. A partire dal 12 ottobre, l’aggressore lo sonda; riesce infine a entrarvi con sessioni che sembrano appartenere a dipendenti, senza che i loro account presso l’identity provider risultino compromessi, secondo Botpress. Dal 13 al 21 ottobre, esplora gli strumenti e i sistemi collegati, visualizzando informazioni sugli account dei clienti nonché dati legati alle credenziali API del personale.
Il 21 ottobre, tra le 7:44 e le 8:23 UTC, si serve della credenziale API di un dipendente che risultava amministratore di diversi spazi clienti, essendone membro, per leggere la configurazione dei loro bot. Queste impostazioni contengono quelle delle integrazioni: chiavi API di provider di IA, token di canali di messaggistica, accessi CRM. In altri due spazi, modifica le impostazioni di un’integrazione. La falla viene corretta il giorno stesso intorno alle 16:25 UTC; i tentativi di rientro osservati fino al 3 novembre sono falliti.
Il movente: rivendere l’IA
Botpress descrive un obiettivo chiaro: ottenere consumo di IA da rivendere sui mercati neri. Prima e durante l’intrusione, l’aggressore gestiva una vasta rete di account sulla piattaforma per consumare crediti di IA. L’azienda afferma di non aver ricevuto alcuna richiesta di riscatto e di non aver visto alcun dato dei clienti pubblicato o messo in vendita.
Cosa devono fare i clienti
I proprietari degli spazi colpiti sono stati contattati e hanno ricevuto l’elenco dei bot e delle integrazioni interessati. Poiché Botpress non è in grado di stabilire quali contenessero una chiave valida in quel momento, chiede loro di considerare esposta ogni credenziale archiviata e di modificarla presso il servizio che l’ha emessa. I clienti non contattati non mostrano, secondo l’azienda, alcun segno di accesso. Botpress sta rivedendo i permessi del proprio personale, compreso il fatto che i dipendenti possano essere amministratori di spazi clienti, e sta modificando la propria API affinché le credenziali di un bot non siano più leggibili in questo modo.
La nostra lettura
L’incidente illustra un rischio specifico delle piattaforme di agenti: esse concentrano le chiavi di tutti i servizi che i clienti vi collegano, e una chiave di un provider di IA si monetizza immediatamente sotto forma di token rivenduti. L’anello debole non è stato un cliente, bensì uno strumento interno e un dipendente con permessi troppo estesi. Per un team che utilizza questo tipo di piattaforma, la lezione è pratica: una chiave dedicata per ciascun bot, con tetti di spesa e facile da revocare, limita i danni quando la cassaforte dell’host viene aperta. L’avviso di Botpress è dettagliato e datato, ma rimane l’unica fonte sullo svolgimento dell’attacco.
Fonti
- Botpress — Security incident disclosure, November 2026 (6 novembre 2026) Fonte primaria
- Unite.AI — Botpress Discloses Internal Breach and Customer Credential Risk Fonte secondaria
Una fonte primaria proviene direttamente dall'azienda, dal laboratorio o dall'ente interessato. Una fonte secondaria riporta l'informazione senza esserne l'autrice: la segnaliamo come tale. Un errore? Consulta la nostra politica di rettifica.
