AgentForger: Jeden link wystarczył, by wewnątrz ChatGPT osadzić cyfrowego kreta

Jeden spreparowany link do chatgpt.com mógł wystarczyć, by na koncie pracownika wyrósł autonomiczny bot, wykonujący polecenia hakerów co pięć minut. Badacze z Zenity Labs odkryli podatność AgentForger, która pozwalała na ciche przejęcie tożsamości użytkownika w ChatGPT Workspace bez żadnej autoryzacji z jego strony.

Dlaczego to ważne dla bezpieczeństwa firm

Wykorzystanie AgentForger pokazuje, jak łatwo tradycyjne mechanizmy zabezpieczeń zawodzą w starciu z autonomicznymi agentami. Pozwala to na stworzenie trwałego przyczółka w organizacji, gdzie złośliwy bot nie tylko kradnie dane, ale aktywnie i samodzielnie operuje wewnątrz firmowych struktur, korzystając z pełnych uprawnień legalnie zalogowanego pracownika.

Mechanizm ataku był brutalnie prosty. Bazował na manipulacji parametrami URL w narzędziu Agent Builder, służącym do automatyzacji pracy biurowej. Wykorzystując zbyt liberalny parametr w linku, napastnik mógł wstrzykiwać własne instrukcje bezpośrednio do workflow OpenAI. W efekcie, gdy ofiara kliknęła w odnośnik, system automatycznie budował i wdrażał agenta, omijając standardowe kroki weryfikacyjne i monity.

Kluczem do skali zniszczeń była integracja z tzw. konektorami. Jeśli pracownik wcześniej autoryzował ChatGPT do obsługi usług Microsoft Teams, Outlook czy Google Drive, nowy, wrogi bot dziedziczył te uprawnienia automatycznie. Jak zauważa Zenity Labs: „Zamiast kradzieży sesji czy pojedynczego pliku, AgentForger stworzył trwałego ’insidera’ AI działającego z tożsamością ofiary i wyłączonymi powiadomieniami o zatwierdzaniu operacji”.

Stały nadzór i phishing wewnętrzny

W ramach demonstracji badacze stworzyli „TASK Mail Operatora” – bota, który budził się co 300 sekund i skanował skrzynkę odbiorczą w poszukiwaniu e-maili od napastnika. Agent potrafił przeprowadzić błyskawiczny rekonesans: mapował strukturę personalną firmy i przeszukiwał SharePoint w poszukiwaniu danych płacowych czy dokumentów dotyczących fuzji i przejęć. Co gorsza, bot mógł rozsyłać do współpracowników ofiary wiarygodnie brzmiące wiadomości z prośbą o hasła, prowadząc precyzyjny phishing wewnętrzny.

Badacze przetestowali kilkanaście scenariuszy (tzw. proof-of-concept), udowadniając łatwość pobierania wrażliwych danych organizacji. OpenAI na szczęście zareagowało bez zwłoki – po zgłoszeniu luki przez zespół Zenity Labs problem został naprawiony w ciągu zaledwie czterech dni. Incydent ten pozostawia jednak otwarte pytanie o to, jak monitorować aktywność bytów, które w logach systemowych wyglądają identycznie jak prawowici pracownicy.