Cómo un solo enlace de ChatGPT dio lugar a un espía corporativo autónomo y persistente

Recibí un mensaje en Signal el mes pasado de un colega en un SOC que estaba observando un patrón de tráfico extraño. Parecían llamadas legítimas a la API de ChatGPT, pero se originaban en una máquina perteneciente a un CFO que se encontraba en ese momento en una playa de Maui. El CFO había hecho clic en un enlace de un correo electrónico aparentemente inofensivo sobre "optimización del espacio de trabajo" tres días antes. Para cuando revisamos los registros, un agente autónomo ya había estado viviendo en el entorno, leyendo correos electrónicos silenciosamente y exfiltrando datos de hojas de cálculo a una dirección externa. Este escenario ya no es un ejercicio teórico para los red teams.

Investigadores de seguridad de Zenity Labs revelaron recientemente una vulnerabilidad en los Agentes de Workspace de ChatGPT de OpenAI que permitía exactamente este tipo de infiltración silenciosa. Denominada AgentForger, el fallo permitía a un atacante diseñar un enlace de phishing que, al ser pulsado, construía y desplegaba automáticamente un agente de IA malicioso dentro de la organización de la víctima. Este agente funcionaba como un infiltrado persistente y autónomo con acceso a las herramientas empresariales integradas de la víctima. Aunque OpenAI parcheó la vulnerabilidad el 8 de junio de 2026, el incidente ofrece una mirada aleccionadora sobre cómo la próxima generación de ingeniería social está yendo más allá del robo de credenciales y hacia el secuestro arquitectónico.

La mecánica del exploit AgentForger

En su núcleo técnico, AgentForger es una vulnerabilidad de falsificación de petición en sitios cruzados (CSRF). El exploit se dirigía al ChatGPT Agent Builder, un espacio de trabajo visual diseñado para permitir a los usuarios crear flujos de trabajo de IA de varios pasos. Entre bastidores, la herramienta Builder aceptaba su estado inicial a través de parámetros de URL. Zenity Labs descubrió que el parámetro initial_assistant_prompt no era solo un campo de texto de marcador de posición. Cuando la página se cargaba, la aplicación enviaba y ejecutaba automáticamente cualquier texto contenido en ese parámetro.

Desde una perspectiva de riesgo, esto transformó una herramienta de configuración estándar en un motor de ejecución de código remoto para instrucciones de IA. Un atacante podía construir una URL siguiendo un patrón específico: chatgpt.com/agents/studio/new?template_name=[plantilla]&initial_assistant_prompt=[instrucciones_maliciosas]. Si un usuario con la sesión iniciada hacía clic en este enlace, el navegador abría el Agent Builder en su sesión autenticada e inmediatamente comenzaba a seguir las órdenes del atacante. La víctima podría ver un breve destello de la pantalla del Builder, pero el trabajo pesado ocurría instantáneamente y sin más consentimiento.

Construyendo un fantasma digital persistente

Para que el ataque fuera efectivo, el prompt malicioso necesitaba hacer algo más que simplemente hacer una pregunta. Los investigadores descubrieron que la carga útil podía diseñarse para automatizar todo el proceso de configuración de un agente con altos privilegios. Una vez que la víctima hacía clic en el enlace, el prompt incrustado ordenaba al Builder seleccionar una plantilla de "jefe de personal" (chief-of-staff). Esta plantilla es particularmente peligrosa porque está diseñada para tener un acceso amplio a la vida profesional de un usuario.

La carga útil del atacante ejecutaba entonces una secuencia de tres pasos para asegurar que el agente permaneciera oculto y funcional. Primero, adjuntaba todos los conectores disponibles al nuevo agente. Estos conectores vinculan ChatGPT con aplicaciones críticas para el negocio como Outlook, Gmail, Slack y Google Drive. Segundo, la carga útil cambiaba la configuración de aprobación de estos conectores a "No preguntar nunca". Este paso es el punto de fallo arquitectónico. Por diseño, se supone que estas integraciones deben pedir permiso al usuario antes de realizar una acción, pero el exploit AgentForger permitió al atacante desactivar esa comprobación de seguridad mediante programación.

Finalmente, se programaba la ejecución del agente cada hora. Esto convirtió la ejecución de un script de una sola vez en un operador persistente. Hablando proactivamente, el clic original funcionó como la instalación de una puerta trasera. La programación mantenía la puerta trasera abierta, y las aplicaciones conectadas proporcionaban al atacante tanto un canal de comando y control como una fuente de datos sensibles.

Requisitos previos para un secuestro exitoso

Para que el ataque AgentForger tuviera éxito, la víctima debía cumplir con una serie de criterios específicos. El atacante no podía simplemente apuntar a cualquier usuario de Internet al azar; necesitaba un punto de apoyo en un entorno corporativo que utilizara activamente las funciones empresariales de ChatGPT.

La presencia de un conector existente es la clave para la autonomía del agente. Si un usuario ya había conectado su cuenta de Gmail a ChatGPT por razones legítimas de productividad, el agente falsificado heredaba esa confianza. El modelo de IA no necesitaba pedir una contraseña; simplemente utilizaba el token de autenticación existente para leer, escribir y eliminar mensajes en nombre de la víctima.

La amenaza del infiltrado autónomo

Una vez que el agente está activo, el atacante ya no necesita que la víctima interactúe con ChatGPT ni que mantenga abierta la pestaña del navegador. El agente reside en la infraestructura de OpenAI, no en la máquina local de la víctima. Durante cada ejecución programada, el agente rebelde puede programarse para revisar la bandeja de entrada de la víctima en busca de correos electrónicos con un asunto específico, como "TAREA". El atacante envía un correo a la víctima, el agente lo lee, realiza la acción solicitada dentro de la organización y luego envía los resultados por correo electrónico al atacante.

Mirando el panorama de amenazas, esto crea una oportunidad aterradora para el movimiento lateral y el reconocimiento. Un agente falsificado podría pasar semanas escaneando un Google Drive corporativo en busca de documentos etiquetados como "confidencial" o "contraseña". Podría monitorear canales de Slack en busca de claves de API sensibles o diagramas arquitectónicos. Debido a que el tráfico parece provenir de un servicio de IA legítimo y autorizado, muchas herramientas de seguridad de red tradicionales tratarían la actividad como operaciones comerciales normales.

Además, el agente rebelde puede utilizarse para lanzar ataques de phishing internos. Es mucho más probable que un empleado haga clic en un enlace enviado a través de Microsoft Teams por un colega de confianza que en un correo electrónico sospechoso de una dirección externa. El agente falsificado puede suplantar a la víctima, enviando enlaces maliciosos a otros empleados para cosechar credenciales o propagar la infección de AgentForger más profundamente en la empresa. Esto convierte al agente de IA en un caballo de Troya digital que opera dentro del límite de confianza de la compañía.

Evaluación de la superficie de ataque en la era de los agentes de IA

OpenAI ha tomado la medida proactiva de retirar por completo el producto Agent Builder, con efecto a partir del 30 de noviembre de 2026. Se insta a los usuarios a migrar al SDK de Agentes, que está diseñado con un control más granular y menos vulnerabilidades web heredadas como CSRF. Sin embargo, el incidente de AgentForger sirve como un estudio de caso forense sobre por qué no podemos tratar las plataformas de IA como algo separado de los principios estándar de seguridad web.

La vulnerabilidad no es un fallo de la lógica de la IA o una inyección de prompts en el sentido tradicional. Es un fallo en la gestión del estado de la aplicación. Cuando analizo APTs complejas, a menudo veo que las brechas más devastadoras involucran este tipo de errores de implementación simples y pasados por alto. La plataforma confió en que el usuario inició intencionadamente la creación del agente simplemente porque la solicitud provenía de una sesión válida.

Actualmente nos encontramos en un periodo en el que los servidores de modelos autohospedados y los marcos de agentes se están desplegando a un ritmo rápido. Muchos de estos sistemas están mal configurados o dependen de puertos predecibles, lo que los convierte en objetivos explotables. Zenity Labs señaló recientemente que la infraestructura de IA expuesta se está convirtiendo en un backend conveniente y negable para operaciones ofensivas de IA. AgentForger es solo un ejemplo de cómo los atacantes están cambiando su enfoque de atacar el modelo de IA a atacar la infraestructura que lo aloja.

Asegurando el espacio de trabajo contra amenazas autónomas

Dejando a un lado los parches, las organizaciones deben reconocer que las integraciones de IA representan una nueva clase de shadow IT. Si un empleado conecta su correo electrónico corporativo a un servicio de IA de terceros, esencialmente está extendiendo la superficie de ataque de la empresa a la infraestructura de ese proveedor. En caso de una brecha como AgentForger, la seguridad de toda la organización depende de la configuración de autorización de un solo usuario.

Para construir una postura más resiliente, los equipos de seguridad deberían considerar los siguientes pasos:

• Auditar todos los conectores e integraciones de IA de terceros. Utilizar un enfoque de confianza cero donde los conectores solo se autoricen para tareas específicas y limitadas en el tiempo, en lugar de un acceso indefinido.
• Implementar un monitoreo estricto para las llamadas a la API que se originan en plataformas de IA. Buscar volúmenes inusuales de datos enviados a dominios externos o acceso inesperado a carpetas de almacenamiento en la nube sensibles.
• Actualizar la formación de concienciación de los empleados para incluir escenarios de phishing específicos de IA. Se debe enseñar al cortafuegos humano que un enlace a una plataforma "confiable" como ChatGPT aún puede ser malicioso.
• Imponer la autenticación multifactor (MFA) en todas las aplicaciones empresariales para evitar que los agentes utilicen sesiones robadas para eludir las comprobaciones de identidad.

AgentForger fue una llamada de atención. Demostró que a medida que damos a la IA más autonomía para actuar en nuestro nombre, también estamos dando a los atacantes herramientas más poderosas para subvertir nuestra confianza. El objetivo de la seguridad no es dejar de usar estas herramientas, sino asegurar que nuestros asistentes digitales no se conviertan en nuestros infiltrados más peligrosos.

Fuentes

• Zenity Labs Research Report on AgentForger (2026)
• OpenAI Product Security Advisory (June 2026)
• NIST AI Risk Management Framework (AI RMF 1.0)
• MITRE ATT&CK Framework: Technique T1566 (Phishing) and T1133 (External Remote Services)

Descargo de responsabilidad: Este artículo tiene fines informativos y educativos únicamente. No constituye asesoramiento legal o de ciberseguridad profesional. Las organizaciones deben realizar sus propias evaluaciones de riesgo independientes y consultar con profesionales de seguridad antes de implementar cambios arquitectónicos.