Jak pojedynczy link do ChatGPT zrodził trwałego, autonomicznego szpiega korporacyjnego

W zeszłym miesiącu otrzymałem wiadomość na Signal od kolegi z SOC, który analizował dziwny wzorzec ruchu. Wyglądało to na legalne wywołania API ChatGPT, ale pochodziły one z komputera należącego do dyrektora finansowego (CFO), który przebywał wówczas na plaży na Maui. Trzy dni wcześniej CFO kliknął link w pozornie nieszkodliwym e-mailu dotyczącym „optymalizacji obszaru roboczego”. Do czasu, gdy zajrzeliśmy do logów, autonomiczny agent zdążył już zadomowić się w środowisku, po cichu czytając e-maile i eksfiltrując dane z arkuszy kalkulacyjnych na zewnętrzny adres. Ten scenariusz nie jest już tylko teoretycznym ćwiczeniem dla zespołów red team.

Badacze bezpieczeństwa z Zenity Labs ujawnili niedawno lukę w ChatGPT Workspace Agents od OpenAI, która pozwalała na dokładnie taki rodzaj cichej infiltracji. Luka o kryptonimie AgentForger umożliwiała atakującemu przygotowanie linku phishingowego, który po kliknięciu automatycznie budował i wdrażał złośliwego agenta AI wewnątrz organizacji ofiary. Agent ten funkcjonował jako trwały, autonomiczny „insider” z dostępem do zintegrowanych narzędzi korporacyjnych ofiary. Choć OpenAI załatało tę lukę 8 czerwca 2026 r., incydent ten stanowi trzeźwiące spojrzenie na to, jak kolejna generacja inżynierii społecznej wykracza poza kradzież poświadczeń w stronę przejmowania architektury.

Mechanika exploita AgentForger

U podstaw technicznych AgentForger leży luka typu cross-site request forgery (CSRF). Exploit był wymierzony w ChatGPT Agent Builder, wizualny obszar roboczy zaprojektowany, aby umożliwić użytkownikom tworzenie wieloetapowych przepływów pracy AI. Za kulisami narzędzie Builder przyjmowało swój stan początkowy poprzez parametry URL. Zenity Labs odkryło, że parametr initial_assistant_prompt nie był tylko zastępczym polem tekstowym. Po załadowaniu strony aplikacja automatycznie przesyłała i wykonywała dowolny tekst zawarty w tym parametrze.

Z perspektywy ryzyka przekształciło to standardowe narzędzie konfiguracyjne w silnik zdalnego wykonywania kodu dla instrukcji AI. Atakujący mógł skonstruować adres URL według określonego wzorca: chatgpt.com/agents/studio/new?template_name=[template]&initial_assistant_prompt=[malicious instructions]. Jeśli zalogowany użytkownik kliknął ten link, przeglądarka otwierała Agent Builder w jego uwierzytelnionej sesji i natychmiast zaczynała wykonywać polecenia atakującego. Ofiara mogła zobaczyć krótkie mignięcie ekranu Buildera, ale „brudna robota” działa się natychmiast i bez dalszej zgody.

Budowanie trwałego cyfrowego ducha

Aby atak był skuteczny, złośliwy prompt musiał robić coś więcej niż tylko zadawać pytania. Badacze odkryli, że ładunek (payload) mógł zostać zaprojektowany tak, aby zautomatyzować cały proces konfiguracji agenta o wysokich uprawnieniach. Gdy ofiara kliknęła link, osadzony prompt instruował Buildera, aby wybrał szablon „chief-of-staff” (szef sztabu). Ten szablon jest szczególnie niebezpieczny, ponieważ został zaprojektowany tak, aby mieć szeroki dostęp do życia zawodowego użytkownika.

Ładunek atakującego wykonywał następnie trzyetapową sekwencję, aby zapewnić agentowi niewidoczność i funkcjonalność. Po pierwsze, podłączał wszystkie dostępne konektory do nowego agenta. Konektory te łączą ChatGPT z aplikacjami o krytycznym znaczeniu, takimi jak Outlook, Gmail, Slack i Google Drive. Po drugie, ładunek zmieniał ustawienia zatwierdzania dla tych konektorów na „Nigdy nie pytaj”. Ten krok jest architektonicznym punktem krytycznym. Z założenia te integracje powinny prosić o zgodę użytkownika przed podjęciem działania, ale exploit AgentForger pozwalał atakującemu na programowe wyłączenie tego mechanizmu bezpieczeństwa.

Na koniec zaplanowano uruchamianie agenta co godzinę. Przekształciło to jednorazowe wykonanie skryptu w trwałego operatora. Mówiąc proaktywnie, pierwotne kliknięcie funkcjonowało jak instalacja backdoora. Harmonogram utrzymywał ten backdoor otwarty, a połączone aplikacje zapewniały atakującemu zarówno kanał dowodzenia i kontroli (C2), jak i źródło wrażliwych danych.

Wymagania wstępne dla udanego przejęcia

Aby atak AgentForger zakończył się sukcesem, ofiara musiała spełnić określony zestaw kryteriów. Atakujący nie mógł po prostu obrać za cel dowolnego użytkownika internetu; potrzebował punktu zaczepienia w środowisku korporacyjnym, które aktywnie korzystało z funkcji korporacyjnych ChatGPT.

Obecność istniejącego konektora jest kluczem do autonomii agenta. Jeśli użytkownik połączył już swoje konto Gmail z ChatGPT z uzasadnionych powodów związanych z produktywnością, sfałszowany agent dziedziczył to zaufanie. Model AI nie musiał prosić o hasło; po prostu używał istniejącego tokenu uwierzytelniającego, aby czytać, pisać i usuwać wiadomości w imieniu ofiary.

Zagrożenie ze strony autonomicznego insidera

Gdy agent jest już aktywny, atakujący nie potrzebuje już interakcji ofiary z ChatGPT ani nawet otwartej karty w przeglądarce. Agent rezyduje w infrastrukturze OpenAI, a nie na lokalnej maszynie ofiary. Podczas każdego zaplanowanego uruchomienia złośliwy agent może być zaprogramowany tak, aby sprawdzał skrzynkę odbiorczą ofiary pod kątem e-maili o określonym temacie, np. „ZADANIE”. Atakujący wysyła e-mail do ofiary, agent go odczytuje, wykonuje żądane działanie wewnątrz organizacji, a następnie przesyła wyniki e-mailem z powrotem do atakującego.

Patrząc na krajobraz zagrożeń, tworzy to przerażającą okazję do poruszania się bocznego (lateral movement) i rekonesansu. Sfałszowany agent mógłby spędzić tygodnie na skanowaniu korporacyjnego Google Drive w poszukiwaniu dokumentów oznaczonych jako „poufne” lub „hasło”. Mógłby monitorować kanały Slack pod kątem wrażliwych kluczy API lub diagramów architektonicznych. Ponieważ ruch wydaje się pochodzić z legalnej, autoryzowanej usługi AI, wiele tradycyjnych narzędzi bezpieczeństwa sieciowego traktowałoby tę aktywność jako normalne operacje biznesowe.

Co więcej, złośliwy agent może być wykorzystany do przeprowadzania wewnętrznych ataków phishingowych. Pracownik jest znacznie bardziej skłonny kliknąć link wysłany przez Microsoft Teams od zaufanego kolegi niż podejrzany e-mail z zewnętrznego adresu. Sfałszowany agent może podszywać się pod ofiarę, wysyłając złośliwe linki do innych pracowników w celu przejęcia poświadczeń lub dalszego rozprzestrzeniania infekcji AgentForger w firmie. To zmienia agenta AI w cyfrowego konia trojańskiego, który operuje wewnątrz granicy zaufania firmy.

Ocena powierzchni ataku w erze agentów AI

OpenAI podjęło proaktywny krok, całkowicie wycofując produkt Agent Builder z dniem 30 listopada 2026 r. Użytkownicy są zachęcani do migracji na Agents SDK, który został zaprojektowany z bardziej granularną kontrolą i mniejszą liczbą starszych podatności webowych, takich jak CSRF. Jednak incydent AgentForger służy jako studium przypadku z zakresu informatyki śledczej, pokazujące, dlaczego nie możemy traktować platform AI jako oddzielonych od standardowych zasad bezpieczeństwa webowego.

Luka ta nie wynika z błędu logiki AI ani z prompt injection w tradycyjnym sensie. Jest to błąd zarządzania stanem aplikacji. Analizując złożone ataki APT, często widzę, że najbardziej niszczycielskie naruszenia wiążą się z tego typu prostymi, przeoczonymi błędami implementacyjnymi. Platforma ufała, że użytkownik celowo zainicjował tworzenie agenta tylko dlatego, że żądanie pochodziło z ważnej sesji.

Obecnie znajdujemy się w okresie, w którym serwery modeli hostowane samodzielnie i frameworki agentowe są wdrażane w szybkim tempie. Wiele z tych systemów jest źle skonfigurowanych lub opiera się na przewidywalnych portach, co czyni je łatwymi celami. Zenity Labs zauważyło niedawno, że wyeksponowana infrastruktura AI staje się wygodnym, trudnym do powiązania zapleczem dla ofensywnych operacji AI. AgentForger to tylko jeden z przykładów tego, jak atakujący przenoszą swoją uwagę z atakowania modelu AI na atakowanie infrastruktury, która go hostuje.

Zabezpieczanie obszaru roboczego przed autonomicznymi zagrożeniami

Pomijając kwestię łatek, organizacje muszą uznać, że integracje AI reprezentują nową klasę shadow IT. Jeśli pracownik połączy swój korporacyjny e-mail z usługą AI innej firmy, w zasadzie rozszerza powierzchnię ataku firmy na infrastrukturę tego dostawcy. W przypadku naruszenia takiego jak AgentForger, bezpieczeństwo całej organizacji zależy od ustawień autoryzacji pojedynczego użytkownika.

Aby zbudować bardziej odporną postawę, zespoły ds. bezpieczeństwa powinny rozważyć następujące kroki:

• Przeprowadź audyt wszystkich zewnętrznych konektorów i integracji AI. Zastosuj podejście zero-trust, w którym konektory są autoryzowane tylko do konkretnych, ograniczonych czasowo zadań, a nie do bezterminowego dostępu.
• Wdróż ścisłe monitorowanie wywołań API pochodzących z platform AI. Szukaj nietypowych wolumenów danych wysyłanych do zewnętrznych domen lub nieoczekiwanego dostępu do wrażliwych folderów w chmurze.
• Zaktualizuj szkolenia z zakresu świadomości pracowników o scenariusze phishingu specyficzne dla AI. Ludzki firewall musi zostać nauczony, że link do „zaufanej” platformy, takiej jak ChatGPT, nadal może być złośliwy.
• Wymuś uwierzytelnianie wieloskładnikowe (MFA) we wszystkich aplikacjach korporacyjnych, aby zapobiec wykorzystywaniu przez agentów skradzionych sesji do obejścia kontroli tożsamości.

AgentForger był sygnałem ostrzegawczym. Pokazał, że dając AI większą autonomię w działaniu w naszym imieniu, dajemy również atakującym potężniejsze narzędzia do podważania naszego zaufania. Celem bezpieczeństwa nie jest zaprzestanie korzystania z tych narzędzi, ale upewnienie się, że nasi cyfrowi asystenci nie staną się naszymi najniebezpieczniejszymi insiderami.

Źródła

• Raport badawczy Zenity Labs na temat AgentForger (2026)
• OpenAI Product Security Advisory (czerwiec 2026)
• NIST AI Risk Management Framework (AI RMF 1.0)
• MITRE ATT&CK Framework: Technika T1566 (Phishing) i T1133 (External Remote Services)

Oświadczenie: Niniejszy artykuł służy wyłącznie celom informacyjnym i edukacyjnym. Nie stanowi on profesjonalnej porady prawnej ani z zakresu cyberbezpieczeństwa. Organizacje powinny przeprowadzać własne niezależne oceny ryzyka i konsultować się ze specjalistami ds. bezpieczeństwa przed wdrożeniem zmian architektonicznych.