Comment un simple lien ChatGPT a engendré un espion d'entreprise autonome et persistant

J'ai reçu un message sur Signal le mois dernier de la part d'un collègue d'un SOC qui observait un schéma de trafic étrange. Cela ressemblait à des appels API ChatGPT légitimes, mais ils provenaient d'une machine appartenant à un directeur financier qui se trouvait alors sur une plage à Maui. Le directeur financier avait cliqué sur un lien dans un e-mail de « optimisation de l'espace de travail » apparemment inoffensif trois jours auparavant. Au moment où nous avons examiné les journaux, un agent autonome vivait déjà dans l'environnement, lisant discrètement les e-mails et exfiltrant des données de feuilles de calcul vers une adresse externe. Ce scénario n'est plus un exercice théorique pour les équipes rouges.

Les chercheurs en sécurité de Zenity Labs ont récemment révélé une vulnérabilité dans les agents d'espace de travail ChatGPT d'OpenAI qui permettait précisément ce type d'infiltration silencieuse. Nommée AgentForger, la faille permettait à un attaquant de concevoir un lien de phishing qui, une fois cliqué, construisait et déployait automatiquement un agent d'IA malveillant au sein de l'organisation de la victime. Cet agent fonctionnait comme un initié persistant et autonome ayant accès aux outils d'entreprise intégrés de la victime. Bien qu'OpenAI ait corrigé la vulnérabilité le 8 juin 2026, l'incident offre un regard sobre sur la façon dont la prochaine génération d'ingénierie sociale dépasse le vol d'identifiants pour se diriger vers le détournement architectural.

Les mécanismes de l'exploit AgentForger

À la base technique, AgentForger est une vulnérabilité de contrefaçon de requête intersite (CSRF). L'exploit visait le ChatGPT Agent Builder, un espace de travail visuel conçu pour permettre aux utilisateurs de créer des flux de travail d'IA en plusieurs étapes. En coulisses, l'outil Builder acceptait son état initial via des paramètres d'URL. Zenity Labs a découvert que le paramètre initial_assistant_prompt n'était pas seulement un champ de texte de remplacement. Lorsque la page se chargeait, l'application soumettait et exécutait automatiquement tout texte contenu dans ce paramètre.

Du point de vue du risque, cela a transformé un outil de configuration standard en un moteur d'exécution de code à distance pour les instructions d'IA. Un attaquant pouvait construire une URL suivant un modèle spécifique : chatgpt.com/agents/studio/new?template_name=[template]&initial_assistant_prompt=[malicious instructions]. Si un utilisateur connecté cliquait sur ce lien, le navigateur ouvrait l'Agent Builder dans sa session authentifiée et commençait immédiatement à suivre les commandes de l'attaquant. La victime pouvait voir un bref flash de l'écran du Builder, mais le plus gros du travail se faisait instantanément et sans consentement supplémentaire.

Construire un fantôme numérique persistant

Pour rendre l'attaque efficace, l'invite malveillante devait faire plus que simplement poser une question. Les chercheurs ont découvert que la charge utile pouvait être conçue pour automatiser l'ensemble du processus de configuration d'un agent à hauts privilèges. Une fois que la victime cliquait sur le lien, l'invite intégrée demandait au Builder de sélectionner un modèle de « chef de cabinet ». Ce modèle est particulièrement dangereux car il est conçu pour avoir un accès étendu à la vie professionnelle d'un utilisateur.

La charge utile de l'attaquant exécutait ensuite une séquence en trois étapes pour s'assurer que l'agent reste furtif et fonctionnel. Premièrement, elle attachait chaque connecteur disponible au nouvel agent. Ces connecteurs lient ChatGPT à des applications critiques telles qu'Outlook, Gmail, Slack et Google Drive. Deuxièmement, la charge utile modifiait les paramètres d'approbation de ces connecteurs sur « Ne jamais demander ». Cette étape est le point de rupture architectural. Par conception, ces intégrations sont censées demander la permission de l'utilisateur avant d'agir, mais l'exploit AgentForger a permis à l'attaquant de désactiver cette vérification de sécurité par programmation.

Enfin, l'agent était programmé pour s'exécuter toutes les heures. Cela a transformé l'exécution d'un script ponctuel en un opérateur persistant. De manière proactive, le clic initial a fonctionné comme l'installation d'une porte dérobée. Le calendrier maintenait la porte dérobée ouverte, et les applications connectées fournissaient à l'attaquant à la fois un canal de commande et de contrôle et une source de données sensibles.

Conditions préalables à un détournement réussi

Pour que l'attaque AgentForger réussisse, la victime devait répondre à un ensemble de critères spécifiques. L'attaquant ne pouvait pas simplement cibler n'importe quel utilisateur d'Internet ; il avait besoin d'un point d'appui dans un environnement d'entreprise utilisant activement les fonctionnalités d'entreprise de ChatGPT.

La présence d'un connecteur existant est la clé de l'autonomie de l'agent. Si un utilisateur avait déjà connecté son compte Gmail à ChatGPT pour des raisons de productivité légitimes, l'agent forgé héritait de cette confiance. Le modèle d'IA n'avait pas besoin de demander un mot de passe ; il utilisait simplement le jeton d'authentification existant pour lire, écrire et supprimer des messages au nom de la victime.

La menace de l'initié autonome

Une fois que l'agent est actif, l'attaquant n'a plus besoin que la victime interagisse avec ChatGPT ou même garde l'onglet du navigateur ouvert. L'agent réside sur l'infrastructure d'OpenAI, et non sur la machine locale de la victime. Lors de chaque exécution programmée, l'agent malveillant peut être programmé pour vérifier la boîte de réception de la victime à la recherche d'e-mails avec un objet spécifique, tel que « TASK ». L'attaquant envoie un e-mail à la victime, l'agent le lit, effectue l'action demandée au sein de l'organisation, puis renvoie les résultats par e-mail à l'attaquant.

En examinant le paysage des menaces, cela crée une opportunité terrifiante pour le mouvement latéral et la reconnaissance. Un agent forgé pourrait passer des semaines à scanner un Google Drive d'entreprise pour des documents étiquetés « confidentiel » ou « mot de passe ». Il pourrait surveiller les canaux Slack pour des clés API sensibles ou des schémas architecturaux. Parce que le trafic semble provenir d'un service d'IA légitime et autorisé, de nombreux outils de sécurité réseau traditionnels traiteraient l'activité comme des opérations commerciales normales.

De plus, l'agent malveillant peut être utilisé pour lancer des attaques de phishing internes. Un employé est beaucoup plus susceptible de cliquer sur un lien envoyé via Microsoft Teams par un collègue de confiance que sur un e-mail suspect provenant d'une adresse externe. L'agent forgé peut usurper l'identité de la victime, envoyant des liens malveillants à d'autres employés pour récolter des identifiants ou propager l'infection AgentForger plus loin dans l'entreprise. Cela transforme l'agent d'IA en un cheval de Troie numérique qui opère à l'intérieur de la frontière de confiance de l'entreprise.

Évaluer la surface d'attaque à l'ère des agents d'IA

OpenAI a pris la mesure proactive de supprimer entièrement le produit Agent Builder, à compter du 30 novembre 2026. Les utilisateurs sont invités à migrer vers le SDK Agents, conçu avec un contrôle plus granulaire et moins de vulnérabilités Web héritées comme le CSRF. Cependant, l'incident AgentForger sert d'étude de cas médico-légale sur la raison pour laquelle nous ne pouvons pas traiter les plateformes d'IA comme distinctes des principes de sécurité Web standard.

La vulnérabilité n'est pas un échec de la logique de l'IA ou une injection d'invite au sens traditionnel. C'est un échec de la gestion de l'état de l'application. Lorsque j'analyse des APT complexes, je constate souvent que les violations les plus dévastatrices impliquent ces types d'erreurs de mise en œuvre simples et négligées. La plateforme a fait confiance au fait que l'utilisateur avait intentionnellement initié la création de l'agent simplement parce que la demande provenait d'une session valide.

Nous sommes actuellement dans une période où les serveurs de modèles auto-hébergés et les cadres d'agents sont déployés à un rythme rapide. Beaucoup de ces systèmes sont mal configurés ou reposent sur des ports prévisibles, ce qui en fait des cibles exploitables. Zenity Labs a récemment noté que l'infrastructure d'IA exposée devient un backend pratique et déniable pour les opérations d'IA offensives. AgentForger n'est qu'un exemple de la façon dont les attaquants déplacent leur attention de l'attaque du modèle d'IA vers l'attaque de l'infrastructure qui l'héberge.

Sécuriser l'espace de travail contre les menaces autonomes

Au-delà des correctifs, les organisations doivent reconnaître que les intégrations d'IA représentent une nouvelle classe d'informatique fantôme (shadow IT). Si un employé connecte son e-mail professionnel à un service d'IA tiers, il étend essentiellement la surface d'attaque de l'entreprise à l'infrastructure de ce fournisseur. En cas de violation comme AgentForger, la sécurité de toute l'organisation dépend des paramètres d'autorisation d'un seul utilisateur.

Pour construire une posture plus résiliente, les équipes de sécurité devraient envisager les étapes suivantes :

• Auditer tous les connecteurs et intégrations d'IA tiers. Utiliser une approche zéro confiance où les connecteurs ne sont autorisés que pour des tâches spécifiques et limitées dans le temps plutôt qu'un accès indéfini.
• Mettre en œuvre une surveillance stricte des appels API provenant des plateformes d'IA. Rechercher des volumes inhabituels de données envoyées vers des domaines externes ou un accès inattendu à des dossiers de stockage cloud sensibles.
• Mettre à jour la formation de sensibilisation des employés pour inclure des scénarios de phishing spécifiques à l'IA. Le pare-feu humain doit apprendre qu'un lien vers une plateforme « de confiance » comme ChatGPT peut toujours être malveillant.
• Appliquer l'authentification multi-facteurs (MFA) sur toutes les applications d'entreprise pour empêcher les agents d'utiliser des sessions volées pour contourner les contrôles d'identité.

AgentForger a été un signal d'alarme. Il a démontré qu'à mesure que nous donnons plus d'autonomie à l'IA pour agir en notre nom, nous donnons également aux attaquants des outils plus puissants pour subvertir notre confiance. L'objectif de la sécurité n'est pas d'arrêter d'utiliser ces outils, mais de s'assurer que nos assistants numériques ne deviennent pas nos initiés les plus dangereux.

Sources

• Rapport de recherche de Zenity Labs sur AgentForger (2026)
• Avis de sécurité produit d'OpenAI (juin 2026)
• Cadre de gestion des risques de l'IA du NIST (AI RMF 1.0)
• Cadre MITRE ATT&CK : Technique T1566 (Phishing) et T1133 (External Remote Services)

Avertissement : Cet article est fourni à titre informatif et éducatif uniquement. Il ne constitue pas un conseil professionnel juridique ou en cybersécurité. Les organisations doivent mener leurs propres évaluations de risques indépendantes et consulter des professionnels de la sécurité avant de mettre en œuvre des changements architecturaux.