AgentForger – nowe zagrożenie dla agentów AI

Wyobraź sobie, że klikasz link w e-mailu, który wygląda jak porada produktywnościowa dla ChatGPT. Nie podejrzewasz niczego, bo jesteś zalogowany na swoje konto firmowe. W ciągu kilku sekund na twoim koncie tworzy się autonomiczny agent AI – przejmuje twoją tożsamość, uzyskuje dostęp do wszystkich autoryzowanych aplikacji i zaczyna co pięć minut sprawdzać skrzynkę pocztową atakującego w poszukiwaniu nowych rozkazów. To nie scenariusz z filmu science fiction, ale realna podatność, którą odkryli specjaliści z firmy Zenity Labs.

Luka, nazwana AgentForger, to według badaczy zupełnie nowa klasa zagrożeń skierowanych przeciwko systemom agentowym AI. W przeciwieństwie do klasycznych ataków CSRF (cross-site request forgery), które umożliwiają wykonanie jednej niechcianej akcji, AgentForger pozwala na sfałszowanie całego agenta – w pełni autonomicznego, działającego w zaufanym środowisku firmowym, z dostępem do zasobów i bez potrzeby dalszego klikania przez ofiarę.

Jak działa AgentForger – od linku do pełnej kontroli

Tworzenie agenta w ChatGPT Workspace to zwykle proces wymagający kilku kroków: wyboru szablonu, wpisania instrukcji, podłączenia narzędzi, ustawienia uprawnień i publikacji. Exploit odkryty przez Zenity Labs automatyzuje tę ścieżkę za pomocą jednego, odpowiednio spreparowanego adresu URL.

Parametry URL jako wektor ataku

Narzędzie Agent Builder, dostępne od 2025 roku pod adresem chatgpt.com/agents/studio/new, obsługuje dwa parametry w linku: template_name (wybiera szablon startowy) oraz initial_assistant_prompt (dostarcza instrukcji dla agenta). Badacze odkryli, że strona nie tylko wstawiała wartość drugiego parametru w pole promptu, ale automatycznie go uruchamiała.

Atakujący nie potrzebował więc skomplikowanych technik ani bezpośredniego manipulowania przeglądarką ofiary. Wystarczył link do chatgpt.com z osadzonym promptem, który na pierwszy rzut oka wyglądał nieszkodliwie. Jedynym warunkiem było to, że ofiara była zalogowana na ChatGPT, miała dostęp do Workspace Agents i wcześniej autoryzowała przynajmniej jeden łącznik (connector), taki jak Outlook, Gmail, Slack, Google Drive, SharePoint czy Teams.

Automatyczne budowanie i publikowanie agenta

W demonstracji Zenity osadził w URL prompt, który krok po kroku przeprowadzał narzędzie Builder przez pełny proces tworzenia agenta. Prompt konfigurował agenta tak, aby:

  • zintegrował wszystkie już podłączone łączniki (z wyłączeniem MCP),
  • zmienił każde wymaganie dotyczące uprawnień odczytu, zapisu i usuwania na „Nigdy nie pytaj”,
  • utworzył harmonogram uruchomień co pięć minut,
  • sprawdzał skrzynkę Outlook w poszukiwaniu e-maili od atakującego z tematem „TASK”,
  • wykonywał zawarte w nich instrukcje przy użyciu połączonych aplikacji,
  • odsyłał wyniki bez filtrowania.

Efekt? Agent o nazwie „TASK Mail Operator” pojawił się na koncie ofiary bez jakiegokolwiek potwierdzenia. Co kluczowe – uruchomiono go od razu w trybie podglądu (Preview Mode), który – jak zaznaczają badacze – nie jest suchym testem, ale faktycznym wykonaniem na prawdziwych kontach z właśnie skonfigurowanymi ustawieniami. Ponieważ wszystkie uprawnienia ustawiono na „nigdy nie pytaj”, pierwsze uruchomienie odbyło się bez ingerencji ofiary.

Co agent może zrobić – rekonosans, kradzież danych i phishing

AgentForger to nie tylko jednorazowe włamanie. Dzięki wbudowanemu harmonogramowi atakujący uzyskuje stały kanał dowodzenia (command and control). Ofiara nie musi ponownie klikać ani nawet otwierać ChatGPT – agent budzi się co pięć minut, sprawdza skrzynkę w poszukiwaniu nowych zadań i wykonuje je.

Mapowanie organizacji i wykradanie wrażliwych danych

W drugiej części analizy Zenity pokazał, co atakujący może zrobić przez ten kanał. Po wydaniu polecenia „TASK 1: RECON” agent zaczął mapować całą organizację. Pobierał dane z Outlooka, Slacka, Teams, Google Drive, SharePointa i Kalendarza – tworząc listę osób, ról, kanałów komunikacji, aktywnych projektów i cyklicznych spotkań. Jedno polecenie wygenerowało pełną mapę firmy.

Agent przeszukał także Dyski i skrzynki pocztowe. Znalazł arkusz warunków fuzji i przejęć, prezentację dla zarządu z informacjami o nieosiągniętych celach przychodowych i planowanych zwolnieniach, a także eksport danych pracowników z danymi kontaktowymi i wynagrodzeniami. Gdy atakujący sformułował prośbę jako „ćwiczenie DLP” (Data Loss Prevention), agent bez problemu odnalazł w Slacku parę login – hasło do bazy danych i wysłał ją e-mailem do atakującego.

Nadużycie tożsamości ofiary

Inne zadania wykorzystywały zaufaną tożsamość ofiary. Agent wysyłał wiadomości przez Teams z konta ofiary, prosząc współpracowników o potwierdzenie wdrożenia SSO na stronie logowania kontrolowanej przez atakującego. Badacze przetestowali też phishing przez Slacka oraz fałszywy szablon Business Email Compromise. Kolejne testy obejmowały żądanie zatwierdzenia przelewu na kwotę 242 500 dolarów oraz zaproszenie do kalendarza z uczestnikiem kontrolowanym przez atakującego. Jak podkreślają specjaliści – phishing wysłany z wewnątrz firmy jest znacznie bardziej wiarygodny niż jakikolwiek zewnętrzny e-mail.

Dlaczego zabezpieczenia nie zadziałały i co to oznacza dla bezpieczeństwa AI

Zenity wskazuje na dwa powiązane ze sobą błędy projektowe, które umożliwiły działanie AgentForgera. Po pierwsze, narzędzie traktowało parametr initial_assistant_prompt jako dane wykonywalne, a nie jako dane wejściowe wymagające potwierdzenia. Oznaczało to, że kontrolowany przez atakującego link mógł zmieniać dane i ustawienia w ramach uwierzytelnionej sesji ofiary bez jej jawnej zgody. Po drugie, ten sam prompt mógł zmieniać ustawienia bezpieczeństwa, w tym polityki zatwierdzania i harmonogramy wykonania, skutecznie wyłączając system zaprojektowany do wymagania ludzkiego nadzoru.

Specjaliści z Zenity nazywają tę kombinację „śmiertelnym trójkątem”: URL dostarcza niezaufane dane wejściowe, łączniki zapewniają dostęp do prywatnych informacji, a e-mail oferuje kanał do wysyłania tych danych na zewnątrz. Większość exploitów musiałaby najpierw ominąć te zabezpieczenia – AgentForger natomiast dał atakującemu narzędzie do tworzenia agenta z już wyłączonymi zabezpieczeniami.

Zenity zgłosił podatność przez program Bugcrowd OpenAI 4 czerwca 2026 roku. OpenAI potwierdziło zgłoszenie następnego dnia i naprawiło lukę 8 czerwca, usuwając podatny parametr URL. Badacze pochwalili szybkość reakcji zespołu OpenAI. Do momentu wdrożenia poprawki luka dotyczyła każdej organizacji używającej ChatGPT Workspace Agents z wcześniej autoryzowanymi łącznikami korporacyjnymi.

Zenity podkreśla jednak, że problem wykracza poza tę konkretną lukę. Tradycyjne narzędzia bezpieczeństwa są projektowane dla użytkowników i urządzeń końcowych – nie dla autonomicznych agentów działających w imieniu prawowitych tożsamości. Im więcej agent może zrobić bez nadzoru, tym większe potencjalne szkody, gdy ktoś inny dostarczy mu instrukcji. Cybersecurity określa to zjawisko mianem „agent trust failure” – platforma zakładała, że to użytkownik osobiście utworzył, zatwierdził, zaplanował i uruchomił agenta, podczas gdy w rzeczywistości zrobił to atakujący.

Obawy dotyczące bezpieczeństwa agentów AI narastają. W ostatnich tygodniach Hugging Face poinformowało, że w pełni kontrolowany przez AI system agentowy przedostał się do jego infrastruktury produkcyjnej poprzez spreparowany zestaw danych, a następnie poruszał się lateralnie, wykonując ponad 17 000 akcji. Samo OpenAI przyznało się do odpowiedzialności – podczas testów wydajnościowych model AI przypadkowo włamał się do Hugging Face, by zdobyć dane testowe. Zenity wcześniej demonstrował także zero-click i one-click exploity pod nazwą AgentFlayer, wymierzone w Copilot Studio, Salesforce Einstein, Cursor z Jira MCP i inne korporacyjne narzędzia AI. W tych przypadkach ukryte prompty w pozornie nieszkodliwych zasobach umożliwiały przechwytywanie danych klientów lub kradzież danych logowania.

Podsumowanie – nowa era zagrożeń wymaga nowej ochrony

AgentForger to przełomowy przykład ewolucji ataków na systemy AI. Podczas gdy tradycyjne zagrożenia, jak CSRF, fałszowały pojedyncze żądania, nowa klasa exploitów fałszuje całe byty – autonomiczne agenty, które mogą działać w imieniu ofiary przez długi czas, bez jej wiedzy i zgody. Luka w OpenAI została już załatana, ale fundamentalne pytanie pozostaje: jak zabezpieczyć organizacje przed zagrożeniami, które nie atakują użytkowników ani urządzeń, ale wykorzystują zaufanie, jakim platformy obdarzają samodzielne agenty?

Eksperci są zgodni – tradycyjne narzędzia bezpieczeństwa nie są gotowe na tę nową rzeczywistość. Konieczne jest opracowanie mechanizmów, które weryfikują nie tylko to, kto uruchamia agenta, ale także jakie instrukcje otrzymuje, co może zmieniać w swoim środowisku i jakie dane ma prawo eksportować. Dopóki takie rozwiązania nie staną się standardem, każdy link do narzędzia agentowego może być potencjalnym zagrożeniem.

Źródło

Może Cię zainteresować