Un link avvelenato ha inserito un agente autoesecutivo in ChatGPT di un’azienda

Zenity Labs ha reso noti giovedì risultati di ricerca che descrivono quella che definisce AgentForger: una vulnerabilità nel builder Workspace Agents di ChatGPT che trasformava un singolo लिंक in un insider persistente e autonomo all’interno dell’organizzazione della vittima.

Come funzionava

Il builder accettava template_name e initial_assistant_prompt come parametri URL — e li inviava automaticamente senza chiedere all’utente di confermare. Facendo clic sul link, veniva creato, configurato e pubblicato un agente nell’ambito della sessione autenticata della vittima. Poiché si trattava della sessione della vittima, l’agente ereditava ogni connettore già autorizzato: Outlook, Gmail, Slack, SharePoint, Teams, Google Drive. Le barriere di approvazione venivano disattivate nello stesso payload.

Il canale di comando

L’agente impiantato poi interrogava ogni cinque minuti una casella di posta controllata dall’attaccante, cercando messaggi con "TASK" nell’oggetto ed eseguendo ciò che trovava — dodici schedulazioni sfalsate che producevano un ciclo di cinque minuti. Si tratta di un canale di comando e controllo permanente che opera con i permessi di un vero dipendente; la dimostrazione di Zenity lo ha usato per avviare un bonifico da $242,500. Il CTO Michael Bargury: "Con un solo clic, un attaccante ottiene un agente completamente autonomo all’interno della tua azienda."

Cronologia

Il ricercatore Mike Takahashi lo ha segnalato tramite Bugcrowd il 4 giugno. È stato classificato il 5 giugno e corretto il 8-9 giugno, quando OpenAI ha rimosso il parametro. La vulnerabilità è chiusa; ciò che è nuovo è la disclosure.

Perché la forma conta

Si tratta della cross-site request forgery rinata nell’era degli agenti. La CSRF classica induce un browser a compiere una singola azione come utente autenticato. Qui l’azione falsificata era la creazione di un processo autonomo duraturo che continua ad agire anche dopo la chiusura della scheda — e i builder di agenti che accettano configurazioni da un URL trasformano ogni link di phishing in un potenziale dipendente permanente.