AgentForger : un simple lien ChatGPT pouvait injecter un agent IA malveillant dans votre workspace

Zenity Labs a rendu public le 23 juillet 2026 une faille du builder d'agents de ChatGPT qui permettait d'installer silencieusement un agent malveillant héritant de tous les connecteurs de la victime (Outlook, Slack, Drive…). Corrigée le 9 juin - mais la classe de vulnérabilité reste à surveiller.

Les faits

Le 23 juillet 2026, Zenity Labs a rendu public AgentForger, une vulnérabilité qui exploitait le constructeur d'agents (« agent builder ») de ChatGPT pour installer silencieusement un agent malveillant dans le workspace d'une victime. La faille a été signalée à OpenAI le 4 juin 2026 via Bugcrowd, reconnue le 5 juin et corrigée le 9 juin par la suppression du paramètre d'URL vulnérable. La divulgation publique est intervenue le 23 juillet. Aucun CVE n'a été attribué à ce jour.

Comment ça marchait

Un attaquant préparait un lien piégé contenant des paramètres d'URL qui déclenchaient le constructeur d'agents sans interaction visible. En cliquant, la victime déclenchait la chaîne suivante :

1. Le builder s'exécutait en arrière-plan.
2. Un agent se configurait automatiquement en héritant des services connectés au workspace : Outlook, Teams, Slack, SharePoint, Google Drive.
3. Les prompts d'approbation étaient désactivés.
4. L'agent était publié puis programmé.
5. Il surveillait la boîte mail de la victime : chaque message dont l'objet contenait le mot-clé « TASK » devenait une nouvelle commande - recherche de fichiers, exfiltration de données, envoi de messages au nom de l'employé.

Michael Bargury, cofondateur et CTO de Zenity, résume l'attaque comme « un insider forgé de toutes pièces ; l'attaquant n'a plus besoin d'entrer pour voler vos données ».

Qui est impacté

Les workspaces OpenAI ChatGPT où trois conditions étaient réunies :

• les agents sont activés dans le workspace ;
• l'utilisateur a le droit de créer des agents ;
• des applications tierces (Outlook, Slack, Drive…) ont été approuvées par un administrateur.

Que faire

Le paramètre d'URL vulnérable a été retiré côté OpenAI, donc l'exploit décrit n'est plus utilisable en l'état. En revanche, la classe de vulnérabilités qu'il illustre - la manipulation d'un builder d'agent par un simple lien, avec héritage automatique des permissions - reste un vecteur à surveiller de près.

Analyse

Nous suivons depuis plusieurs mois une série d'incidents avec un point commun : le compromis ne vise plus le code de l'application IA, mais le cadre d'exécution de l'agent - permissions déléguées, connecteurs, prompts. AgentForger s'inscrit dans cette lignée aux côtés de la brèche Hugging Face liée à un agent autonome et de la manipulation d'agents de review dans Azure DevOps MCP. Le pattern est clair : quand un agent hérite d'un tas de permissions déjà approuvées, il devient un multiplicateur de risque, et la surface d'attaque se déplace de « comment injecter du code » vers « comment forger un agent légitime ».