Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Badacze bezpieczeństwa ujawnili krytyczną podatność nazwaną AgentForger, która dotyczyła mechanizmu ChatGPT Workspace Agents. Luka umożliwiała utworzenie, autoryzowanie i uruchomienie złośliwego agenta AI w kontekście zalogowanego użytkownika organizacji po pojedynczym kliknięciu spreparowanego odsyłacza. W praktyce był to groźny przykład połączenia phishingu, automatyzacji oraz błędów w logice autoryzacji.
Problem pokazuje, że platformy agentowe AI należy traktować jak środowiska uprzywilejowanej automatyzacji. W odróżnieniu od klasycznych chatbotów, agenci mogą wykonywać zadania cykliczne, korzystać z firmowych integracji i działać z uprawnieniami użytkownika, co znacząco zwiększa potencjalny wpływ udanego ataku.
W skrócie
- Podatność pozwalała przygotować link inicjalizujący proces tworzenia złośliwego agenta.
- Atak wykorzystywał zalogowaną sesję ofiary oraz wcześniej autoryzowane konektory do usług firmowych.
- Złośliwy agent mógł zostać opublikowany i uruchomiony bez świadomej zgody użytkownika.
- Możliwe było ustawienie harmonogramu działania, co dawało napastnikowi trwałość.
- Według ujawnionych informacji problem został załatany 8 czerwca 2026 roku.
Kontekst / historia
Incydent wpisuje się w rosnącą kategorię zagrożeń związanych z agentami AI wdrażanymi w środowiskach przedsiębiorstw. Takie rozwiązania są projektowane z myślą o wygodzie, szybkości konfiguracji i szerokiej integracji z usługami biznesowymi, jednak każda słabość w procesie inicjalizacji, publikacji lub zatwierdzania może prowadzić do znacznie poważniejszych skutków niż w tradycyjnych aplikacjach webowych.
W przypadku AgentForger szczególnie istotne było to, że podatność dotyczyła narzędzia do wizualnego budowania przepływów agenta. Tego typu kreatory upraszczają wdrażanie automatyzacji, ale jednocześnie zwiększają powierzchnię ataku, zwłaszcza gdy współpracują z wcześniej nadanymi uprawnieniami do poczty, kalendarza, dysku chmurowego czy komunikatorów. Dodatkowym tłem sprawy są zmiany architektoniczne i migracja do nowszych mechanizmów tworzenia agentów, co pokazuje, jak dynamicznie rozwija się ten segment platform AI.
Analiza techniczna
Rdzeniem ataku był scenariusz przypominający CSRF, rozszerzony o logikę specyficzną dla agentów AI. Badacze wskazali, że kreator akceptował parametry inicjalizacyjne przekazywane w adresie URL, w tym nazwę szablonu oraz początkowy prompt. Najpoważniejszy problem polegał na tym, że prompt nie był jedynie wstawiany do formularza, ale mógł zostać automatycznie przesłany i wykonany po otwarciu strony.
W praktyce atakujący mógł stworzyć spreparowany odsyłacz, który uruchamiał proces budowy nowego agenta w kontekście aktywnej sesji ofiary. Jeśli użytkownik był zalogowany, miał dostęp do Workspace Agents oraz wcześniej autoryzowane integracje, możliwe było wykonanie szeregu działań bez dodatkowej, świadomej interakcji.
Złośliwy prompt mógł między innymi:
- utworzyć agenta na bazie określonego szablonu,
- podłączyć dostępne konektory do aplikacji firmowych,
- ustawić zasady zatwierdzania na tryb niewymagający pytań użytkownika,
- opublikować agenta,
- dodać harmonogram uruchamiania, na przykład co godzinę,
- natychmiast uruchomić agenta w trybie podglądu.
Szczególnie niebezpieczny okazał się tryb podglądu, który zamiast działać jak bezpieczna symulacja, wykonywał realne operacje z użyciem świeżo skonfigurowanych połączeń i uprawnień. To oznaczało, że agent mógł od razu uzyskać dostęp do danych i rozpocząć wykonywanie zadań.
Opisany łańcuch ataku przewidywał również mechanizm sterowania przez e-mail. Agent mógł cyklicznie sprawdzać wiadomości spełniające określone warunki, interpretować je jako polecenia operacyjne, wykonywać działania w imieniu ofiary i przekazywać wyniki napastnikowi. W efekcie pojedyncze kliknięcie mogło zamienić się w trwały kanał zdalnego sterowania osadzony w legalnej infrastrukturze organizacji.
Konsekwencje / ryzyko
Ryzyko związane z AgentForger wykraczało daleko poza klasyczny phishing. Po skutecznym wdrożeniu złośliwy agent mógł działać jak autonomiczny insider, korzystający z legalnych integracji i zaufanej tożsamości użytkownika. Taki model działania daje napastnikowi dostęp do danych, procesów i komunikacji, które normalnie są chronione przez granice organizacyjne.
Potencjalne skutki obejmowały:
- rekonesans w środowisku przedsiębiorstwa poprzez analizę wiadomości, dokumentów i zasobów,
- eksfiltrację danych z usług chmurowych i systemów komunikacyjnych,
- utrzymanie trwałości dzięki harmonogramom uruchamiania,
- propagację ataku poprzez wysyłanie kolejnych wiadomości phishingowych z zaufanego konta,
- nadużycia przypominające scenariusze BEC z użyciem legalnych kanałów komunikacji.
Szczególnie groźna była możliwość działania agenta poza momentem pierwotnego kliknięcia. Nawet jeśli użytkownik zamknął przeglądarkę lub nie zauważył incydentu, raz opublikowany agent mógł nadal wykonywać zadania zgodnie z harmonogramem i instrukcjami dostarczanymi przez napastnika.
Rekomendacje
Organizacje korzystające z agentów AI powinny traktować tego typu platformy jak systemy o podwyższonym poziomie ryzyka. Niezbędne jest ograniczenie dostępu do funkcji tworzenia i publikowania agentów wyłącznie do wybranych grup użytkowników oraz ścisła kontrola nad możliwością podłączania konektorów i ustawiania harmonogramów.
W praktyce warto wdrożyć następujące działania:
- stosować zasadę najmniejszych uprawnień dla konektorów do poczty, dysków, kalendarzy i komunikatorów,
- regularnie audytować i usuwać nieużywane integracje,
- wymuszać dodatkowe zatwierdzanie dla operacji wysokiego ryzyka,
- monitorować tworzenie nowych agentów, publikację, zmiany polityk zatwierdzania i aktywację harmonogramów,
- wykrywać nietypowe linki inicjalizujące przepływy agentów w kampaniach phishingowych,
- prowadzić okresowe przeglądy opublikowanych agentów pod kątem promptów operacyjnych, aktywnych harmonogramów i kanałów komunikacji wychodzącej.
Ważnym elementem obrony powinien być również dedykowany proces reagowania na incydenty związane z agentami AI. Taki plan powinien obejmować szybkie wyłączenie agenta, odpięcie konektorów, unieważnienie tokenów integracyjnych, analizę logów działań oraz poinformowanie użytkowników o możliwym phishingu.
Podsumowanie
AgentForger pokazuje, że podatności w platformach agentowych AI mogą prowadzić do znacznie poważniejszych skutków niż typowe błędy interfejsu webowego. W tym przypadku pojedynczy link phishingowy mógł doprowadzić do utworzenia trwałego, autonomicznego agenta działającego z uprawnieniami realnego pracownika i korzystającego z firmowych integracji.
Dla organizacji to wyraźny sygnał, że bezpieczeństwo agentów AI musi obejmować nie tylko modele i prompty, ale również kontrolę sesji, logikę zatwierdzania, monitoring działań, nadzór nad konektorami oraz pełną widoczność cyklu życia automatyzacji.