AgentForger: én manipulert ChatGPT-lenke bygde en skjult KI-agent under offerets konto

Sikkerhetsselskapet Zenity Labs har vist at én manipulert lenke til chatgpt.com kunne reise en fullverdig, autonom KI-agent i OpenAIs Workspace Agents, ifølge The Decoder. Agenten arvet offerets identitet og de allerede godkjente koblingene til Outlook, Slack, Gmail og Google Drive, og hoppet dermed over godkjenningsstegene som skal beskytte sensitive handlinger.

Angrepet, døpt «AgentForger», utnytter at siden på chatgpt.com/agents/studio/new tok imot to URL-parametere: template_name og initial_assistant_prompt. Zenity fant at prompten ikke bare ble lagt i tekstfeltet, men kjørt automatisk. En lenke som så harmløs ut kunne dermed lede Agent Builder gjennom hele oppsettet: koble til alle autoriserte tjenester, sette hvert lese-, skrive- og slettekrav til «Never ask», og publisere agenten. Zenity beskriver det som en videreutvikling av klassisk CSRF.

Den virkelige forskjellen var planleggeren. Den forvandlet engangsklikket til noe som ligner command-and-control-infrastruktur: agenten «TASK Mail Operator» våknet hvert femte minutt, sjekket Outlook for e-poster med «TASK» i emnefeltet, utførte instruksjonene og sendte resultatet tilbake. I demoen kartla agenten organisasjonen, fant et M&A-dokument og en full ansatteksport, og da en oppgave ba den søke Slack etter strengen «pass:», fant den et databasepassord og sendte det videre til angriperen. Andre tester inkluderte en godkjenningsforespørsel på en overføring på 242 500 dollar.

Zenity rapporterte AgentForger gjennom OpenAIs Bugcrowd-program 4. juni 2026. OpenAI bekreftet dagen etter og fjernet den aktuelle URL-parameteren 8. juni, altså fire dager senere. Fram til da var hver organisasjon som brukte ChatGPT Workspace Agents med tidligere autoriserte connectorer, eksponert.

For deg som bygger med agent-plattformer er poenget mekanismen, ikke akkurat denne feilen. Zenity kaller kombinasjonen «the lethal trifecta»: URL-en ga upålitelig input, koblingene ga tilgang til private data, og e-post ga en vei ut. Fordi agenten opererer under en legitim brukeridentitet, ser tradisjonelle sikkerhetsverktøy, som er bygget for brukere og endepunkter, ingenting galt.

Hva bør du gjøre?

1. Behandle URL-parametere som kan starte agent-bygging eller endre tillatelser som eksekverbar, ikke-klarert input i egne agent-verktøy, og krev et eksplisitt bekreftelsessteg før noe kjøres.
2. Gjør godkjenningspolicyer til noe bare et menneske kan endre, aldri noe en prompt kan skru av i samme flyt.
3. Revider hvilke connectorer agent-kontoene dine allerede har autorisert. Det er den stående tilgangen et forfalsket agent-oppsett arver.