OpenAI（截图）

关键要点

• Zenity Labs 披露了 OpenAI Workspace Agents 中存在一个名为“AgentForger”的漏洞，只需一个被篡改的链接，就能在用户不知情的情况下，创建一个代表用户行事的自主 AI 智能体。
• 该攻击利用 URL 参数劫持了受害者的应用权限，禁用了安全控制，并永久性地按计划执行攻击者的命令，实际上是将平台自身的能力转而用来对付用户。
• OpenAI 在四天内修复了该漏洞，但 Zenity 认为，这一事件凸显了一个更广泛的问题：传统安全工具无法应对那些在合法用户身份下运行的自主智能体。

一个被篡改的 ChatGPT 链接就能生成一个 AI 智能体，它会每五分钟静默检查攻击者的收件箱，寻找新订单。Zenity Labs 称该缺陷是针对基于智能体的 AI 的一种新型攻击。

AI 安全公司 Zenity Labs 在 OpenAI 的 Workspace Agents 中发现了一个漏洞，该漏洞允许一个被篡改的链接在员工账户下创建一个自主 AI 智能体。该智能体继承了受害者的身份，并复用了其已有的应用权限，跳过了旨在保护敏感操作的审批步骤。

Zenity 将该漏洞命名为“AgentForger”，并将其视为经典跨站请求伪造（CSRF）的演进。在典型的 CSRF 攻击中，用户点击一个恶意链接或访问一个精心构造的页面后，会在不知情的情况下触发一个其从未意图执行的已认证操作。

AgentForger 更进一步。它不是触发单个非预期的操作，而是通过被篡改的 ChatGPT 链接启动了一个完全自主智能体的创建过程。该智能体在公司的信任边界内运行，接入受害者已授权的连接器，并按重复周期从攻击者那里获取新任务。

URL 参数让攻击者能够自动化创建智能体。

创建工作区智能体通常是一个交互式流程。用户需要选择模板、输入指令、连接工具、查看共享设置、在预览模式下测试智能体，然后才能发布。而 AgentForger 让攻击者能够通过一个 URL 触发该流程的大部分步骤，几乎无需用户进一步操作。

于 2025 年推出的智能体构建器（Agent Builder）可通过 chatgpt.com/agents/studio/new 访问，并接受两个 URL 参数。`template_name` 用于选择起始模板，例如“chief-of-staff”，而 `initial_assistant_prompt` 则用于提供指令。

Zenity 发现，该页面不仅会将 `initial_assistant_prompt` 的值填入提示词字段，还会自动提交并运行该提示词。攻击者无需向 ChatGPT 发送原始请求，也无需直接操控受害者的浏览器。他们只需要一个附带了提示词的 chatgpt.com 链接，而这个链接乍看之下毫无危害。

唯一的先决条件是受害者已登录 ChatGPT、拥有工作区智能体的使用权限，并且已授权至少一个连接器，例如 Outlook、Gmail、Slack、Google Drive、SharePoint 或 Teams。由于这些连接已经存在，因此不会弹出新的 OAuth 授权提示，从而不会引起受害者的警觉。

只需点击一次，即可构建并发布智能体

在演示中，Zenity 在 URL 中嵌入了一条提示词，该提示词通过编号任务列表引导构建器完成所有步骤。该智能体被设置为集成所有已连接的非 MCP 连接器，并将所有读取、写入和删除操作的权限要求更改为“从不询问”。

它还会创建每五分钟运行一次的定时任务，检查 Outlook 中来自攻击者且主题行包含“TASK”的邮件，使用已连接的应用程序执行邮件中的指令，并将结果未经筛选地发送回去。

Builder 在未询问用户的情况下创建了一个名为“TASK 邮件操作员”的智能体。它连接了已授权的服务，关闭了审批要求，发布了该智能体，并在预览模式下启动了它。

Zenity 表示，预览模式不仅仅是一次视觉测试运行：它会根据刚刚配置的审批设置，在受害者真实连接的账户上执行这个新智能体。由于所有设置都已设为“从不询问”，第一次运行在未请求用户批准的情况下就完成了。

定时调度为攻击者提供了持久访问权限

如果没有调度器，这次攻击将是一次性事件。调度器将伪造的智能体转变为类似命令与控制基础设施的东西。一旦智能体被部署，受害者无需再次点击或重新打开 ChatGPT。该智能体每五分钟唤醒一次，检查收件箱中是否有新的 TASK 邮件，执行其中包含的指令，并将结果发送回去。初始点击安装了智能体，调度器使其保持活跃，而收件箱则成为了命令通道。

在其分析的第二部分，Zenity 展示了攻击者可以通过此通道做什么。在收到命令“TASK 1：侦察”后，该智能体绘制了组织架构图。它从 Outlook、Slack、Teams、Drive、SharePoint 和日历中提取数据，以列出人员、角色、频道、活跃项目和定期会议。

该智能体还搜索了 Drive、SharePoint 和 Outlook。它找到了一份并购条款清单、一份提及未达收入目标和计划裁员的董事会演示文稿，以及一份包含联系方式和薪酬数据的全公司员工导出文件。一个被伪装成“数据防泄漏（DLP）演练”的请求指示智能体在 Slack 中搜索字符串“pass:”。该智能体找到了一个数据库用户名和密码对，并将两者通过邮件发送给了攻击者。

其他任务则滥用了受害者的受信任身份。该智能体通过受害者的 Teams 账户发送消息，要求同事在攻击者控制的登录页面上确认一次 SSO 部署。Zenity 还测试了通过 Slack 进行的钓鱼攻击以及一个企业邮件入侵模板。其他测试包括批准一笔 242,500 美元的电汇请求，以及一个包含攻击者控制参与者的日历邀请。

安全防护措施未能阻止攻击

Zenity 将 AgentForger 归因于两个相关的设计选择。构建者将 `initial_assistant_prompt` 参数视为可执行输入，而非需要用户确认的用户输入。因此，攻击者控制的 URL 可以在未经用户明确批准的情况下，更改受害者已认证会话中的数据与设置。

同样的提示词还可以更改安全设置，包括审批策略和执行计划。这意味着该指令可以禁用原本要求敏感操作需经人工批准的系统。

Zenity 将这种组合描述为“致命三重奏”：URL 提供了不受信任的输入，连接器提供了访问私有数据的权限，而电子邮件则提供了将数据发送出去的途径。大多数漏洞利用都必须首先绕过这些安全防护措施。而 AgentForger 则让攻击者能够访问一个构建工具，该工具可以创建一个已禁用这些安全防护措施的智能体。

自主智能体打破了当今安全工具所依赖的假设

Zenity 于 2026 年 6 月 4 日通过 OpenAI 的 Bugcrowd 项目报告了 AgentForger。OpenAI 于次日确认了该报告，并于 6 月 8 日通过移除受影响的 URL 参数修复了该漏洞。Zenity 对 OpenAI 安全团队的响应速度表示赞赏。

根据 Zenity 的说法，在修复措施生效之前，该漏洞影响了所有使用 ChatGPT Workspace Agents 并已授权企业连接器的组织。

Zenity 表示，问题远不止于这个特定的漏洞。传统安全工具是为用户和终端设备设计的，而非针对那些通过合法用户身份行事的自主智能体。智能体在无监督情况下能做的事情越多，当他人为其提供指令时，它所能造成的破坏就越大。这家网络安全公司将 AgentForger 称为“智能体信任失效”：该平台假定用户已亲自创建、批准、调度并启动了该智能体。

近期，围绕基于智能体的 AI 的安全担忧日益加剧。Hugging Face 报告称，一个完全由 AI 控制的智能体系统通过一个被篡改的数据集侵入了其生产基础设施，随后进行了横向移动。据该公司称，该系统执行了超过 17,000 次操作。OpenAI 随后不久承认了责任。在一次性能测试中，其模型意外地入侵了 Hugging Face 以获取测试数据。

Zenity 去年还以 AgentFlayer 的名义演示了多种零点击和一键式漏洞利用。这些攻击针对的是 Copilot Studio、Salesforce Einstein、集成了 Jira MCP 的 Cursor 以及其他企业级 AI 工具。在这些案例中，隐藏在看似无害资源中的提示词能够转移客户数据或窃取登录凭证。

无炒作 AI 新闻——由人类精选

第一部分

第二部分