AgentForger : 単一のChatGPTリンクが、あなたのワークスペースに悪意のあるAIエージェントを注入する可能性があります

Zenity Labsは2026年7月23日に、ChatGPTのエージェントビルダーの脆弱性を公開しました。この脆弱性により、被害者のすべてのコネクタ（Outlook、Slack、Driveなど）を継承する悪意のあるエージェントをサイレントにインストールできました。この脆弱性は6月9日に修正されましたが、脆弱性のクラスは引き続き監視する必要があります。

事実

2026年7月23日、Zenity Labsは、AgentForgerという脆弱性を公開しました。この脆弱性は、ChatGPTのエージェントビルダーを悪用して、被害者のワークスペースに悪意のあるエージェントを静かにインストールするものでした。この脆弱性は、2026年6月4日にBugcrowdを通じてOpenAIに報告され、6月5日に認識され、6月9日に脆弱なURLパラメータを削除することで修正されました。公開は7月23日に行われました。現在までにこの脆弱性にはCVEが割り当てられていません。

仕組み

攻撃者は、エージェントビルダーを可視化せずにトリガーするURLパラメータを含む悪意のあるリンクを準備しました。被害者がクリックすると、以下のチェーンが実行されました：

1. ビルダーがバックグラウンドで実行されました。
2. エージェントが自動的に設定され、ワークスペースに接続されたサービスを継承しました：Outlook、Teams、Slack、SharePoint、Google Drive。
3. 承認プロンプトが無効化されました。
4. エージェントが公開され、スケジュールされました。
5. エージェントは被害者のメールボックスを監視し、件名にキーワード「TASK」を含む各メッセージが新しいコマンドになりました - ファイルの検索、データのエクスフィルテーション、従業員の名前でメッセージの送信。

Zenityの共同創設者兼CTOであるMichael Barguryは、この攻撃を「完全に作られたインサイダー；攻撃者はあなたのデータを盗むために入る必要はありません」と要約しています。

影響を受ける人

OpenAI ChatGPTのワークスペースで、以下の3つの条件が満たされた場合：

• ワークスペースでエージェントが有効になっています；
• ユーザーはエージェントを作成する権限を持っています；
• 管理者によって承認されたサードパーティアプリケーション（Outlook、Slack、Driveなど）が接続されています。

対策

OpenAI側で脆弱なURLパラメータが削除されたため、説明されたエクスプロイトは現在の状態では利用できません。ただし、このエクスプロイトが示す脆弱性のクラス - 単一のリンクでエージェントビルダーを操作し、自動的に権限を継承する - は、引き続き注意深く監視すべきベクトルです。

分析

私たちは、いくつかの事件を数ヶ月間追跡してきました。共通点は、コンプロミズがもはやAIアプリケーションのコードを狙うのではなく、エージェントの実行フレームワーク - 委任された権限、コネクタ、プロンプト - を狙うことです。AgentForgerは、自律エージェントに関連するHugging Faceのブレーチや、Azure DevOps MCPのレビューエージェントの操作と並んで、この傾向に沿っています。パターンは明確です：エージェントがすでに承認された多くの権限を継承すると、リスクの増幅器になり、攻撃面は「コードをインジェクションする方法」から「合法的なエージェントを鍛造する方法」に移行します。