AgentForger: 간단한 ChatGPT 링크가 워크스페이스에 악성 AI 에이전트를 주입할 수 있었습니다

Zenity Labs는 2026년 7월 23일 ChatGPT 에이전트 빌더의 취약점으로 인해 피해자의 모든 커넥터(Outlook, Slack, Drive 등)를 상속하는 악성 에이전트를 조용히 설치할 수 있었던 문제를 공개했습니다. 이 취약점은 6월 9일에 수정되었지만, 해당 취약점 클래스는 계속 주시해야 합니다.

사실

2026년 7월 23일, Zenity Labs는 AgentForger라는 취약점을 공개했습니다. 이 취약점은 ChatGPT의 에이전트 빌더(‘agent builder’)를 악용하여 피해자의 워크스페이스에 은밀히 악성 에이전트를 설치하는 방식이었습니다. 해당 취약점은 2026년 6월 4일 Bugcrowd를 통해 OpenAI에 신고되었으며, 6월 5일에 인지되었고, 6월 9일 취약한 URL 매개변수를 제거하면서 수정되었습니다. 공개는 7월 23일에 이루어졌으며, 아직까지 CVE가 부여되지 않았습니다.

작동 방식

공격자는 눈에 띄지 않는 URL 매개변수를 포함하는 함정 링크를 준비했습니다. 클릭하면 피해자가 다음과 같은 절차를Trigger했습니다:

1. 빌더가 백그라운드에서 실행되었습니다.
2. 에이전트가 워크스페이스에 연결된 서비스(Outlook, Teams, Slack, SharePoint, Google Drive)를 자동으로 상속받아 자동 구성되었습니다.
3. 승인 프롬프트가 비활성화되었습니다.
4. 에이전트가 게시된 후 예약되었습니다.
5. 피해자의 메일함을 모니터링했으며, 제목에 ‘TASK’라는 키워드가 포함된 모든 메시지가 새로운 명령으로 변환되었습니다(파일 검색, 데이터 유출, 직원 명의 메시지 전송 등).

Zenity의 공동창립자 겸 CTO인 Michael Bargury는 이 공격을 “완전히 조작된 내부자 공격; 공격자는 데이터를 훔치기 위해 침입할 필요가 없습니다”라고 요약했습니다.

영향 대상

다음 세 가지 조건이 충족된 OpenAI ChatGPT 워크스페이스가 영향을 받았습니다:

• 워크스페이스에서 에이전트 기능이 활성화되어 있어야 함
• 사용자에게 에이전트 생성 권한이 있어야 함
• 관리자에 의해 타사 앱(Outlook, Slack, Drive 등)이 승인되어 있어야 함

대처 방법

OpenAI 측에서 취약한 URL 매개변수가 제거되어 해당 공격은 더 이상 그대로 사용되지 않지만, 에이전트 빌더를 단순 링크로 조작하고 자동으로 권한을 상속받는 이 취약점의 유형은 주의 깊게 모니터링해야 합니다.

분석

수개월 전부터 일련의 사고를 주시해 왔습니다. 이 사고들은 공통점이 있었는데, AI 애플리케이션의 코드 rather than the 실행 프레임워크를 겨냥했다는 점입니다(위임된 권한, 커넥터, 프롬프트). AgentForger는 이 계보에 속하며, 자동 에이전트와 관련된 Hugging Face 침해 및 Azure DevOps MCP의 에이전트 조작과 함께합니다. 패턴은 명확합니다: 에이전트가 이미 승인된 권한을 다수 상속받을 때, 에이전트는 위험을 증폭시키는 요소가 되며, 공격 표면은 “어떻게 코드를 주입할 것인가”에서 “어떻게 합법적인 에이전트를 위조할 것인가”로 이동합니다.