AgentForger: простая ссылка ChatGPT могла внедрить вредоносного ИИ-агента в ваш workspace

Zenity Labs обнародовала 23 июля 2026 года уязвимость в конструкторе агентов ChatGPT, которая позволяла silently установить вредоносного агента, наследующего все коннекторы жертвы (Outlook, Slack, Drive и др.). Уязвимость была исправлена 9 июня — но класс уязвимости остаётся под пристальным наблюдением.

Факты

23 июля 2026 года Zenity Labs обнародовала AgentForger — уязвимость, эксплуатировавшую конструктор агентов (« agent builder ») ChatGPT для скрытой установки вредоносного агента в рабочей области жертвы. Ошибка была сообщена в OpenAI 4 июня 2026 года через Bugcrowd, признана 5 июня и исправлена 9 июня путём удаления уязвимого параметра URL. Публичное раскрытие состоялось 23 июля. На данный момент ни один CVE не был присвоен этой уязвимости.

Как это работало

Злоумышленник готовил подделанную ссылку с параметрами URL, которые запускали конструктор агентов без видимого взаимодействия. При переходе по ссылке жертва инициировала следующую цепочку:

1. Конструктор выполнялся в фоновом режиме.
2. Агент автоматически настраивался, наследуя подключённые к рабочей области сервисы: Outlook, Teams, Slack, SharePoint, Google Drive.
3. Запросы на подтверждение отключались.
4. Агент публиковался и программировался.
5. Он следил за почтовым ящиком жертвы: каждый входящий с ключевым словом «TASK» в теме становился новой командой — поиск файлов, эксфильтрация данных, отправка сообщений от имени сотрудника.

Майкл Баргури, сооснователь и технический директор Zenity, охарактеризовал атаку как «поддельного инсайдера; злоумышленнику больше не нужно проникать внутрь, чтобы украсть ваши данные».

Кого это касается

Рабочие области OpenAI ChatGPT, где выполнялись три условия:

• в рабочей области включены агенты;
• у пользователя есть право создавать агентов;
• сторонние приложения (Outlook, Slack, Drive и др.) одобрены администратором.

Что делать

Уязвимый параметр URL был удалён со стороны OpenAI, поэтому описанная атака больше не может быть реализована в текущем виде. Однако класс уязвимостей, который он иллюстрирует — манипуляция конструктором агента через простую ссылку с автоматическим наследованием прав — остаётся вектором, требующим пристального внимания.

Анализ

Уже несколько месяцев мы наблюдаем серию инцидентов с общей чертой: компрометация больше не нацелена на код приложения ИИ, а на исполнительную среду агента — делегированные разрешения, коннекторы, промты. AgentForger вписывается в этот тренд наряду с утечкой Hugging Face, связанной с автономным агентом, и манипуляциями с агентами ревью в Azure DevOps MCP. Шаблон очевиден: когда агент наследует множество уже одобренных разрешений, он становится умножителем риска, а поверхность атаки смещается с «как внедрить код» на «как подменить легитимного агента».