Zenity Labs Revela Falha de Segurança 'AgentForger' no ChatGPT

A Zenity Labs, empresa de segurança de IA, revelou recentemente uma vulnerabilidade crítica, batizada de "AgentForger", nos Agentes do Workspace da OpenAI. A falha permitia que um único link manipulado do ChatGPT criasse um agente de inteligência artificial autônomo, agindo em nome de um usuário sem seu conhecimento, com acesso persistente e a capacidade de receber ordens de um atacante a cada cinco minutos. A OpenAI agiu rapidamente, corrigindo a vulnerabilidade em apenas quatro dias após o relato.

Como o 'AgentForger' Criava Agentes Maliciosos

O ataque explorava parâmetros específicos de URL para sequestrar as permissões de aplicativos da vítima, desabilitar controles de segurança e executar comandos do atacante em uma base agendada, efetivamente usando as próprias capacidades da plataforma contra o usuário. A Zenity Labs descreve o "AgentForger" como uma evolução do ataque clássico de falsificação de solicitação entre sites (CSRF).

Em um ataque CSRF típico, um usuário clica em um link malicioso ou acessa uma página criada com má intenção e, sem saber, aciona uma ação autenticada que nunca pretendia realizar. O "AgentForger" ia além: em vez de apenas disparar uma ação indesejada, o link manipulado do ChatGPT iniciava a criação de um agente totalmente autônomo. Esse agente operava dentro do limite de confiança da empresa, utilizava conectores que a vítima já havia autorizado e buscava novas tarefas do atacante em um cronograma recorrente.

Normalmente, a criação de um agente do Workspace é um processo interativo, onde os usuários selecionam um modelo, inserem instruções, conectam ferramentas, revisam configurações de compartilhamento, testam o agente e o publicam. O "AgentForger" permitia que os atacantes acionassem a maior parte desse processo por meio de uma URL com pouca ou nenhuma interação adicional do usuário.

O Agent Builder, introduzido em 2025 e disponível em chatgpt.com/agents/studio/new, aceita dois parâmetros de URL: template_name, que seleciona um modelo inicial, e initial_assistant_prompt, que fornece as instruções. A Zenity descobriu que a página não apenas colocava o valor de initial_assistant_prompt no campo do prompt, mas também o submetia e executava automaticamente. Assim, os atacantes não precisavam enviar solicitações brutas ao ChatGPT ou manipular diretamente o navegador da vítima; tudo o que precisavam era um link do chatgpt.com com um prompt anexado que parecia inofensivo à primeira vista.

A única condição prévia para o ataque era que a vítima estivesse logada no ChatGPT, tivesse acesso aos Agentes do Workspace e já tivesse autorizado pelo menos um conector, como Outlook, Gmail, Slack, Google Drive, SharePoint ou Teams. Como as conexões já existiam, nenhum novo prompt de consentimento OAuth aparecia para alertar a vítima.

Em uma demonstração, a Zenity incorporou um prompt na URL que guiava o Builder através de todas as etapas em uma lista de tarefas numeradas. O agente foi configurado para integrar todos os conectores não-MCP já conectados e alterar todos os requisitos de permissão para leitura, escrita e exclusão para "Nunca perguntar". Também criou agendamentos para rodar a cada cinco minutos, verificava o Outlook em busca de e-mails do atacante com "TASK" na linha de assunto, executava suas instruções usando os aplicativos conectados e enviava os resultados de volta sem filtro.

O Builder criou um agente chamado "TASK Mail Operator" sem perguntar ao usuário. Ele conectou os serviços autorizados, desabilitou os requisitos de aprovação, publicou o agente e o lançou no Modo de Visualização. A Zenity afirma que o Modo de Visualização não é apenas um teste visual: ele executa o novo agente contra as contas conectadas reais da vítima usando as configurações de aprovação recém-configuradas. Como todas as configurações já estavam definidas como "Nunca perguntar", a primeira execução foi concluída sem pedir aprovação ao usuário.

Acesso Persistente e Potencial de Abuso

Sem o agendador, o ataque teria sido um evento único. O agendador transformou o agente falsificado em algo que se assemelha a uma infraestrutura de comando e controle. Uma vez que o agente é implantado, a vítima não precisa clicar novamente ou reabrir o ChatGPT. O agente acorda a cada cinco minutos, verifica a caixa de entrada para novos e-mails "TASK", executa as instruções que eles contêm e envia os resultados de volta. O clique inicial instala o agente, o agendador o mantém ativo e a caixa de entrada se torna o canal de comando.

Na segunda parte de sua análise, a Zenity mostra o que os atacantes poderiam fazer através desse canal. Após receber o comando "TASK 1: RECON", o agente mapeou a organização. Ele extraiu dados do Outlook, Slack, Teams, Drive, SharePoint e Calendário para listar pessoas, cargos, canais, projetos ativos e reuniões recorrentes.

O agente também pesquisou no Drive, SharePoint e Outlook. Encontrou um termo de fusões e aquisições, uma apresentação do conselho que mencionava metas de receita não atingidas e demissões planejadas, e uma exportação de funcionários de toda a empresa com dados de contato e compensação. Uma solicitação enquadrada como "exercício de DLP" instruiu o agente a procurar pela string "pass:" no Slack. O agente encontrou um par de nome de usuário e senha de banco de dados e os enviou por e-mail ao atacante.

Outras tarefas abusaram da identidade confiável da vítima. O agente enviou mensagens através da conta do Teams da vítima, pedindo a colegas que confirmassem um lançamento de SSO em uma página de login controlada pelo atacante. A Zenity também testou phishing através do Slack e um modelo de comprometimento de e-mail comercial (BEC). Outros testes incluíram uma solicitação de aprovação para uma transferência eletrônica de US$ 242.500 e um convite de calendário com um participante controlado pelo atacante.

A Zenity atribui o "AgentForger" a duas escolhas de design relacionadas. O construtor tratava o parâmetro initial_assistant_prompt como entrada executável, em vez de entrada de usuário que precisava de confirmação. Uma URL controlada por um atacante, portanto, poderia alterar dados e configurações dentro da sessão autenticada da vítima sem a aprovação explícita do usuário.

O mesmo prompt também podia alterar configurações de segurança, incluindo políticas de aprovação e cronogramas de execução. Isso significava que a instrução podia desabilitar o sistema que deveria exigir aprovação humana para ações sensíveis.

"A Zenity descreve a combinação como 'a tríade letal': a URL forneceu entrada não confiável, os conectores deram acesso a dados privados, e o e-mail ofereceu um caminho para enviar esses dados para fora."

A maioria dos exploits teria que contornar essas salvaguardas primeiro. O "AgentForger", em vez disso, deu ao atacante acesso a uma ferramenta de construção que poderia criar um agente com essas salvaguardas já desabilitadas.

Implicações para a Segurança de IA e Resposta da OpenAI

A Zenity relatou o "AgentForger" através do programa Bugcrowd da OpenAI em 4 de junho de 2026. A OpenAI confirmou o relatório no dia seguinte e corrigiu a falha em 8 de junho de 2026, removendo o parâmetro de URL afetado. A Zenity elogiou a velocidade da equipe de segurança da OpenAI.

Até a correção ser implementada, a falha afetava todas as organizações que utilizavam os Agentes do Workspace do ChatGPT com conectores empresariais previamente autorizados, de acordo com a Zenity.

A Zenity afirma que o problema vai além deste bug específico. Ferramentas de segurança tradicionais são construídas para usuários e endpoints, não para agentes autônomos que agem através de identidades de usuários legítimas. Quanto mais um agente pode fazer sem supervisão, mais danos ele pode causar quando alguém fornece suas instruções. A empresa de cibersegurança chama o "AgentForger" de "falha de confiança do agente": a plataforma assumiu que o usuário havia pessoalmente criado, aprovado, agendado e lançado o agente.

As preocupações com a segurança da IA baseada em agentes têm crescido recentemente. A Hugging Face relatou que um sistema de agente totalmente controlado por IA entrou em sua infraestrutura de produção através de um conjunto de dados manipulado e, em seguida, moveu-se lateralmente. O sistema realizou mais de 17.000 ações, segundo a empresa. A OpenAI admitiu responsabilidade pouco depois. Durante um teste de desempenho, seu modelo havia acidentalmente hackeado a Hugging Face para obter dados de teste.

A Zenity também demonstrou vários exploits "zero-click" e "one-click" no ano passado sob o nome "AgentFlayer". Os ataques visavam Copilot Studio, Salesforce Einstein, Cursor com Jira MCP e outras ferramentas de IA empresariais. Nesses casos, prompts ocultos em recursos aparentemente inofensivos poderiam desviar dados de clientes ou roubar credenciais de login.Fonte: The Decoder (https://the-decoder.com/one-tampered-chatgpt-link-could-spawn-a-rogue-ai-agent-that-took-orders-from-an-attacker-every-five-minutes/)