Изследователи по киберсигурност разкриха критична уязвимост в ChatGPT Workspace Agents на OpenAI, която би могла да позволи чрез една-единствена фишинг връзка скрито да се създаде, авторизира и внедри автономен агент с изкуствен интелект (ИИ) в организацията на жертвата.
Уязвимостта е наречена с кодовото име AgentForger от Zenity Labs. Проблемът е коригиран от OpenAI на 8 юни 2026 г. след отговорно оповестяване.
„Една връзка може да отвлече инструмента ChatGPT Agent Builder на OpenAI, за да създаде контролиран от атакуващия ИИ агент с достъпа на реален служител и с изключени одобрения“, споделя компанията за ИИ сигурност в доклад от две части.
Атаката се случва, когато нищо неподозиращ служител кликне върху привидно безопасна ChatGPT връзка. Това води до стартиране на нов ИИ агент в доверената среда на компанията, който изпълнява волята на атакуващия. Проблемът представлява случай на подправяне на заявки между сайтове (CSRF), което фалшифицира контролиран от атакуващия автономен ИИ агент.
Agent Builder е визуален интерфейс за влачене и пускане, позволяващ на потребителите да изграждат многостъпкови работни процеси за агенти. Миналия месец OpenAI обяви, че спира поддръжката на продукта от 30 ноември 2026 г., като призова потребителите да преминат към Agents SDK.
От Zenity посочват, че при тестовете им инструментът Builder е приемал начално състояние чрез URL параметри, два от които включват шаблон на агент и подкана (prompt) към Builder-а.
„Открихме, че при зареждане на страницата стойността на initial_assistant_prompt не просто се поставя в полето за подкана. Тя се изпраща и изпълнява автоматично“, споделя Майк Такахаши, изследовател от ИИ Red Team. „Това означава, че инструкция, вградена в URL адрес, може да стане първата команда, по която Builder-ът действа.“
Тъй като подканата може да се въведе директно в URL адреса, атакуващият може да го изпрати на целта под формата на фишинг връзка, следваща модела: „chatgpt[.]com/agents/studio/new?template_name=[име на шаблон]&initial_assistant_prompt=[злонамерен prompt]“.
Ако вписан в системата потребител кликне върху връзката, ChatGPT отваря Builder-а в удостоверената сесия на жертвата и автоматично изпраща вградената в URL адреса подкана без необходимост от допълнително взаимодействие. За целта атакуващият трябва да изпълни следните предварителни условия:
- Жертва, която е вписана в ChatGPT
- Жертвата има достъп до Workspace Agents
- Жертвата има поне един оторизиран конектор (т.е. вече съществуваща интеграция на ChatGPT към корпоративно приложение като Outlook, Gmail, Google Calendar, Google Drive, Slack или Teams)
Интеграцията на конектора е необходима, тъй като подготвеният URL адрес предава като входни данни шаблон за началник-щаб, който позволява на агента да извлича необходимите данни от работните приложения, за да подготви оперативен брифинг.
По-конкретно, злонамереният код, предаден чрез подканата, инструктира Builder-а да извърши следната последователност от действия:
- Създаване на агент от шаблона за началник-щаб.
- Свързване на всички налични конектори и настройването им на „Никога не питай“, така че да не е необходимо одобрение от потребителя.
- Активиране на агента и планирането му да работи на всеки час, превръщайки го в механизъм за постоянно присъствие.
- При всяко изпълнение да проверява за имейли от конкретен адрес, чиято тема започва с думата „TASK“, да изпълнява тези задачи и да докладва резултатите обратно, изпращайки имейл до адреса на атакуващия.
- Стартиране на режим за предварителен преглед (Preview Mode) за незабавно изпълнение.
„Режимът за предварителен преглед е предназначен да позволи на потребителите да тестват даден агент, преди да го публикуват“, обясняват от Zenity. „В този поток обаче той не е просто визуален преглед или симулация. Той изпълнява новосъздадения агент срещу свързаните акаунти на жертвата, като използва току-що конфигурираните настройки за одобрение.“
„С други думи, фалшифицираният агент се превръща в постоянен оператор. Първоначалното кликване го инсталира, графикът го поддържа активен, а свързаните приложения му осигуряват източник на команди, достъп до чувствителни действия и данни, както и начин за връщане на резултатите.“
С тази възможност фалшифицираният агент може да се загнезди по-дълбоко в организацията, извършвайки разузнаване, събирайки чувствителни документи от облачни хранилища и крадейки пароли, споменати в съобщения в Slack, което на практика го превръща в постоянен автономен вътрешен субект под контрола на атакуващия.
Освен това измамният агент в работната среда може да се представи за жертвата и да изпраща фишинг връзки в Teams от нейно име, които да пренасочват получателите към фалшива страница за вход в Microsoft, предназначена да източи техните идентификационни данни. Този сценарий е обезпокоителен, тъй като може да отвори вратата за по-широко компрометиране на фирмени имейли (BEC).
„На атакуващия не му е необходимо жертвата да кликва върху друга връзка“, обяснява Такахаши. „Не е нужно разделът с Builder-а да остане отворен. След като агентът е публикуван и планиран, атакуващият може да продължи да му изпраща задачи през пощенската кутия на жертвата. Всеки имейл с тема TASK се превръща в ново задание за агента.“