Eksperci z firmy Zenity Labs odkryli krytyczną lukę w zabezpieczeniach narzędzia ChatGPT Workspace Agents, którą nazwano AgentForger. Podatność ta pozwalała atakującym na stworzenie, zainstalowanie i zdalne kontrolowanie autonomicznego agenta AI wewnątrz organizacji ofiary. Luka została już naprawiona przez OpenAI w czerwcu 2026 roku, zaledwie kilka dni po jej zgłoszeniu.
Mechanizm ataku: jak działa AgentForger
AgentForger wykorzystuje specyficzny rodzaj ataku typu CSRF (cross-site request forgery). Cały proces opiera się na przygotowaniu przez atakującego specjalnego adresu URL, który po kliknięciu przez nieświadomego pracownika inicjuje proces tworzenia agenta AI w jego środowisku pracy. Atak jest skuteczny, jeśli ofiara jest zalogowana do ChatGPT, posiada dostęp do Workspace Agents oraz ma skonfigurowane autoryzowane konektory, takie jak Gmail czy Outlook.
Kluczowym elementem ataku jest wykorzystanie dwóch parametrów w adresie URL:
- Wskazanie szablonu agenta (np. „Chief of Staff”), co pozwala na stworzenie bardziej zaawansowanego i elastycznego narzędzia.
- Parametr initial_assistant_prompt, który zawiera instrukcje automatycznie wykonywane przez kreator agentów.
Dzięki temu atakujący może narzucić agentowi konkretne zadania, takie jak monitorowanie przychodzącej poczty elektronicznej pod kątem wiadomości z określonym tematem (np. „TASK”). Gdy agent otrzyma taką wiadomość, wykonuje zawarte w niej polecenia przy użyciu podpiętych aplikacji, a następnie odsyła wyniki bezpośrednio do atakującego. Co istotne, cały ten proces może odbywać się w sposób całkowicie niewidoczny dla organizacji.
„Sfałszowany pracownik” wewnątrz organizacji
Michael Bargury, współzałożyciel i CTO w Zenity, podkreśla, że zagrożenie to wykracza poza tradycyjne rozumienie ataków sieciowych. W tym przypadku nie mamy do czynienia z klasycznym przełamaniem zabezpieczeń, lecz z „sfałszowaniem pracownika” (ang. forged insider).
To nie jest sfałszowane żądanie, to sfałszowany pracownik. Jednym kliknięciem atakujący zyskuje wewnątrz firmy w pełni autonomicznego agenta, który dysponuje tożsamością i uprawnieniami użytkownika, przy wyłączonych zabezpieczeniach. Atakujący nie muszą już włamywać się, by ukraść dane – mogą stworzyć agenta, który zrobi to za nich.
Po zainstalowaniu agenta, atakujący zyskuje szerokie możliwości działania, w tym:
- Prowadzenie działań rozpoznawczych wewnątrz sieci.
- Wyszukiwanie wrażliwych danych i wykradanie poświadczeń.
- Podszywanie się pod pracownika.
- Prowadzenie wewnętrznych kampanii phishingowych oraz ataków typu BEC (Business Email Compromise).
Szybka reakcja OpenAI
Badacze z Zenity Labs zgłosili swoje odkrycie do OpenAI 4 czerwca 2026 roku. Firma zareagowała błyskawicznie, potwierdzając istnienie luki w ciągu jednego dnia i wdrażając poprawkę zabezpieczającą system w ciągu zaledwie trzech dni, czyli do 8 czerwca 2026 roku. Dzięki temu ryzyko wykorzystania tej podatności zostało wyeliminowane.