A Zenity Labs divulgou na quinta-feira uma pesquisa descrevendo o que chama de AgentForger: uma falha no construtor de Workspace Agents do ChatGPT que transformava um único link em um agente interno persistente e autônomo dentro da organização da vítima.
Como funcionava
O construtor aceitava template_name e initial_assistant_prompt como parâmetros de URL — e fazia o envio automático sem pedir que o usuário confirmasse. Ao clicar no link, o usuário criava, configurava e publicava um agente sob sua própria sessão autenticada. Como se tratava da sessão da vítima, o agente herdava todos os conectores já autorizados: Outlook, Gmail, Slack, SharePoint, Teams, Google Drive. As etapas de aprovação eram desativadas no mesmo payload.
O canal de comando
O agente implantado então consultava uma caixa de entrada controlada pelo invasor a cada cinco minutos, procurando mensagens com "TASK" no assunto e executando o que encontrava — doze agendas escalonadas produzindo um ciclo de cinco minutos. Trata-se de um link permanente de comando e controle operando com as permissões de um funcionário real; a demonstração da Zenity o usou para executar uma transferência de US$ 242.500. O CTO Michael Bargury: "Com um clique, um invasor obtém um agente totalmente autônomo dentro da sua empresa."
Cronologia
O pesquisador Mike Takahashi relatou o problema via Bugcrowd em 4 de junho. Ele foi triado em 5 de junho e corrigido em 8 e 9 de junho, quando a OpenAI removeu o parâmetro. A vulnerabilidade foi fechada; o que é novo é a divulgação.
Por que a forma importa
Isso é o CSRF renascido para a era dos agentes. O CSRF clássico induz um navegador a realizar uma única ação como usuário autenticado. Aqui, a ação forjada era criar um processo autônomo durável que continua agindo muito depois que a aba é fechada — e construtores de agentes que aceitam configuração por URL transformam cada link de phishing em um potencial funcionário permanente.