Kaip viena „ChatGPT“ nuoroda sukūrė nuolatinį autonominį korporatyvinį šnipą

Praėjusį mėnesį „Signal“ programėle gavau žinutę iš kolegos, dirbančio saugumo operacijų centre (SOC), kuris stebėjo keistą srauto dėsningumą. Tai atrodė kaip teisėti „ChatGPT“ API kvietimai, tačiau jie sklido iš kompiuterio, priklausančio finansų direktoriui (CFO), kuris tuo metu atostogavo Maui paplūdimyje. Prieš tris dienas finansų direktorius spustelėjo nuorodą iš pažiūros nekenksmingame el. laiške apie „darbo vietos optimizavimą“. Kol mes peržiūrėjome žurnalus, autonominis agentas jau gyveno aplinkoje, tyliai skaitė el. laiškus ir siuntė skaičiuoklių duomenis į išorinį adresą. Šis scenarijus nebėra tik teorinė pratyba „red team“ komandoms.

„Zenity Labs“ saugumo tyrėjai neseniai atskleidė „OpenAI“ „ChatGPT Workspace Agents“ pažeidžiamumą, kuris leido būtent tokio tipo tylią infiltraciją. Kodiniu pavadinimu „AgentForger“ pavadinta spraga leido užpuolikui sukurti fiksavimo (phishing) nuorodą, kurią spustelėjus, aukos organizacijoje automatiškai sukuriamas ir įdiegiamas kenkėjiškas DI agentas. Šis agentas veikė kaip nuolatinis, autonominis viešas asmuo (insider), turintis prieigą prie aukos integruotų įmonės įrankių. Nors „OpenAI“ ištaisė šį pažeidžiamumą 2026 m. birželio 8 d., šis incidentas leidžia blaiviai pažvelgti į tai, kaip naujos kartos socialinė inžinerija peržengia prisijungimo duomenų vagystės ribas ir juda link architektūrinio užgrobimo.

„AgentForger“ išnaudojimo mechanika

Savo technine esme „AgentForger“ yra kryžminio svetainių užklausų klastojimo (CSRF) pažeidžiamumas. Išnaudojimas buvo nukreiptas į „ChatGPT Agent Builder“ – vizualią darbo erdvę, skirtą vartotojams kurti daugiapakopes DI darbo eigas. Užkulisiuose „Builder“ įrankis priimdavo pradinę būseną per URL parametrus. „Zenity Labs“ nustatė, kad initial_assistant_prompt parametras nebuvo tik vietos žymos tekstinis laukas. Kai puslapis būdavo įkeliamas, programa automatiškai pateikdavo ir vykdydavo bet kokį tekstą, esantį tame parametre.

Rizikos požiūriu tai pavertė standartinį konfigūravimo įrankį nuotolinio kodo vykdymo varikliu DI instrukcijoms. Užpuolikas galėjo sukonstruoti URL pagal tam tikrą šabloną: chatgpt.com/agents/studio/new?template_name=[template]&initial_assistant_prompt=[malicious instructions]. Jei prisijungęs vartotojas spustelėdavo šią nuorodą, naršyklė atidarydavo „Agent Builder“ jų autorizuotoje sesijoje ir iškart pradėdavo vykdyti užpuoliko komandas. Auka galėjo pamatyti trumpą „Builder“ ekrano blyksnį, tačiau pagrindinis darbas įvykdavo akimirksniu ir be papildomo sutikimo.

Nuolatinio skaitmeninio vaiduoklio kūrimas

Kad ataka būtų veiksminga, kenkėjiška užklausa turėjo padaryti daugiau nei tik užduoti klausimą. Tyrėjai nustatė, kad naudingoji apkrova (payload) galėjo būti sukurta taip, kad automatizuotų visą aukštų privilegijų agento nustatymo procesą. Kai tik auka spustelėdavo nuorodą, įterpta užklausa nurodydavo „Builder“ pasirinkti „chief-of-staff“ (personalo vadovo) šabloną. Šis šablonas yra ypač pavojingas, nes jis sukurtas turėti plačią prieigą prie vartotojo profesinio gyvenimo.

Tada užpuoliko naudingoji apkrova įvykdydavo trijų žingsnių seką, kad užtikrintų, jog agentas išliktų nepastebimas ir funkcionalus. Pirmiausia, prie naujojo agento buvo prijungiamos visos prieinamos jungtys. Šios jungtys susieja „ChatGPT“ su svarbiausiomis programomis, tokiomis kaip „Outlook“, „Gmail“, „Slack“ ir „Google Drive“. Antra, naudingoji apkrova pakeisdavo šių jungčių patvirtinimo nustatymus į „Niekada neklausti“. Šis žingsnis yra architektūrinis lūžio taškas. Pagal sumanymą šios integracijos turėtų prašyti vartotojo leidimo prieš imantis veiksmų, tačiau „AgentForger“ išnaudojimas leido užpuolikui programiškai išjungti šią saugumo patikrą.

Galiausiai agentas buvo suplanuotas veikti kas valandą. Tai vienkartinį skripto vykdymą pavertė nuolatiniu operatoriumi. Žvelgiant proaktyviai, pradinis spustelėjimas veikė kaip „back door“ (galinių durų) įdiegimas. Tvarkaraštis laikė tas duris atviras, o prijungtos programos suteikė užpuolikui tiek valdymo kanalą, tiek jautrių duomenų šaltinį.

Būtinos sąlygos sėkmingam užgrobimui

Kad „AgentForger“ ataka pavyktų, auka turėjo atitikti tam tikrus kriterijus. Užpuolikas negalėjo tiesiog nusitaikyti į bet kurį atsitiktinį interneto vartotoją; jiems reikėjo įsitvirtinti korporatyvinėje aplinkoje, kuri aktyviai naudoja „ChatGPT“ verslo funkcijas.

Esama jungtis yra pagrindinis agento autonomijos raktas. Jei vartotojas jau buvo prijungęs savo „Gmail“ paskyrą prie „ChatGPT“ dėl teisėtų produktyvumo priežasčių, suklastotas agentas paveldėdavo tą pasitikėjimą. DI modeliui nereikėjo prašyti slaptažodžio; jis tiesiog naudojo esamą autentifikavimo žetoną (token), kad skaitytų, rašytų ir trintų žinutes aukos vardu.

Autonominio viešo asmens grėsmė

Kai agentas tampa aktyvus, užpuolikui nebereikia, kad auka sąveikautų su „ChatGPT“ ar net laikytų atidarytą naršyklės skirtuką. Agentas gyvena „OpenAI“ infrastruktūroje, o ne aukos vietiniame kompiuteryje. Kiekvieno suplanuoto paleidimo metu piktavališkas agentas gali būti suprogramuotas tikrinti aukos gautuosius laiškus, ieškant laiškų su specifine temos eilute, pavyzdžiui, „TASK“. Užpuolikas nusiunčia el. laišką aukai, agentas jį perskaito, atlieka prašomą veiksmą organizacijos viduje ir tada el. paštu išsiunčia rezultatus atgal užpuolikui.

Žvelgiant į grėsmių kraštovaizdį, tai sukuria siaubingą galimybę šoniniam judėjimui (lateral movement) ir žvalgybai. Suklastotas agentas galėtų savaites skenuoti įmonės „Google Drive“, ieškodamas dokumentų, pažymėtų kaip „konfidencialu“ arba „slaptažodis“. Jis galėtų stebėti „Slack“ kanalus, ieškodamas jautrių API raktų ar architektūrinių diagramų. Kadangi srautas atrodo sklindantis iš teisėtos, autorizuotos DI paslaugos, daugelis tradicinių tinklo saugumo įrankių šią veiklą traktuotų kaip įprastas verslo operacijas.

Be to, piktavališkas agentas gali būti naudojamas vidinėms fiksavimo atakoms rengti. Darbuotojas daug labiau linkęs spustelėti nuorodą, atsiųstą per „Microsoft Teams“ iš patikimo kolegos, nei įtartiną el. laišką iš išorinio adreso. Suklastotas agentas gali apsimesti auka, siųsdamas kenkėjiškas nuorodas kitiems darbuotojams, kad surinktų prisijungimo duomenis arba toliau platintų „AgentForger“ infekciją įmonėje. Tai paverčia DI agentą skaitmeniniu Trojos arkliu, veikiančiu įmonės pasitikėjimo ribose.

Atakos paviršiaus vertinimas DI agentų amžiuje

„OpenAI“ ėmėsi proaktyvių veiksmų ir visiškai atsisakė „Agent Builder“ produkto nuo 2026 m. lapkričio 30 d. Vartotojai raginami pereiti prie „Agents SDK“, kuris sukurtas su detalesne kontrole ir turi mažiau pasenusių žiniatinklio pažeidžiamumų, tokių kaip CSRF. Tačiau „AgentForger“ incidentas tarnauja kaip teismo ekspertizės atvejo tyrimas, kodėl negalime traktuoti DI platformų kaip atskirtų nuo standartinių žiniatinklio saugumo principų.

Šis pažeidžiamumas nėra DI logikos nesėkmė ar „prompt injection“ tradicine prasme. Tai programos būsenos valdymo klaida. Kai analizuoju sudėtingas APT (išplėstines nuolatines grėsmes), dažnai matau, kad patys didžiausi įsilaužimai įvyksta dėl tokių paprastų, nepastebėtų įgyvendinimo klaidų. Platforma pasitikėjo, kad vartotojas tyčia inicijavo agento kūrimą tiesiog todėl, kad užklausa atėjo iš galiojančios sesijos.

Šiuo metu gyvename laikotarpiu, kai savarankiškai talpinami modelių serveriai ir agentų sistemos diegiamos sparčiu tempu. Daugelis šių sistemų yra neteisingai sukonfigūruotos arba remiasi nuspėjamais prievadais (ports), todėl tampa lengvai išnaudojamais taikiniais. „Zenity Labs“ neseniai pažymėjo, kad atvira DI infrastruktūra tampa patogiu, neigiamu užnugariu puolamosioms DI operacijoms. „AgentForger“ yra tik vienas pavyzdys, kaip užpuolikai perkelia savo dėmesį nuo DI modelio puolimo prie jį talpinančios infrastruktūros puolimo.

Darbo erdvės apsauga nuo autonominių grėsmių

Neskaitant klaidų taisymo, organizacijos turi pripažinti, kad DI integracijos atstovauja naują „šešėlinio IT“ klasę. Jei darbuotojas prijungia savo įmonės el. paštą prie trečiosios šalies DI paslaugos, jis iš esmės išplečia įmonės atakos paviršių iki to teikėjo infrastruktūros. Tokio pažeidžiamumo kaip „AgentForger“ atveju visos organizacijos saugumas priklauso nuo vieno vartotojo autorizacijos nustatymų.

Norėdamos sukurti atsparesnę poziciją, saugumo komandos turėtų apsvarstyti šiuos žingsnius:

• Audituoti visas trečiųjų šalių DI jungtis ir integracijas. Taikyti „nulinio pasitikėjimo“ (zero-trust) požiūrį, kai jungtys autorizuojamos tik specifinėms, riboto laiko užduotims, o ne neterminuotai prieigai.
• Įdiegti griežtą API kvietimų, kylančių iš DI platformų, stebėjimą. Ieškoti neįprastų duomenų kiekių, siunčiamų į išorinius domenus, arba netikėtos prieigos prie jautrių debesijos saugyklų aplankų.
• Atnaujinti darbuotojų informavimo mokymus, įtraukiant specifinius DI fiksavimo scenarijus. Žmogiškoji ugniasienė turi būti išmokyta, kad nuoroda į „patikimą“ platformą, tokią kaip „ChatGPT“, vis tiek gali būti kenkėjiška.
• Reikalauti daugiaveiksnio autentifikavimo (MFA) visose įmonės programose, kad agentai negalėtų naudoti pavogtų sesijų tapatybės patikroms apeiti.

„AgentForger“ buvo žadintuvo skambutis. Tai įrodė, kad suteikdami DI daugiau autonomijos veikti mūsų vardu, mes taip pat suteikiame užpuolikams galingesnius įrankius pakenkti mūsų pasitikėjimui. Saugumo tikslas nėra nustoti naudoti šiuos įrankius, bet užtikrinti, kad mūsų skaitmeniniai asistentai netaptų mūsų pavojingiausiais vidiniais priešais.

Šaltiniai

• Zenity Labs Research Report on AgentForger (2026)
• OpenAI Product Security Advisory (June 2026)
• NIST AI Risk Management Framework (AI RMF 1.0)
• MITRE ATT&CK Framework: Technique T1566 (Phishing) and T1133 (External Remote Services)

Atsakomybės apribojimas: Šis straipsnis yra skirtas tik informaciniams ir edukaciniams tikslams. Jis nepakeičia profesionalių teisinių ar kibernetinio saugumo patarimų. Organizacijos turėtų atlikti savo nepriklausomą rizikos vertinimą ir pasitarti su saugumo profesionalais prieš diegdamos architektūrinius pakeitimus.