Uma falha crítica batizada de AgentForger permitia que um único clique em um link de phishing criasse, autorizasse e implantasse um agente autônomo do ChatGPT dentro do ambiente corporativo da vítima. A vulnerabilidade, divulgada pela Zenity Labs e corrigida pela OpenAI em 8 de junho de 2026, transformava o Agent Builder em uma máquina de espionagem persistente com acesso aos conectores de Google Workspace, Microsoft 365 e Teams do funcionário atingido.
Pesquisadores da Zenity Labs revelaram nesta semana os detalhes técnicos de uma vulnerabilidade classificada como crítica no ChatGPT Workspace Agents, o produto da OpenAI voltado para automação corporativa. A falha, batizada de AgentForger, é um caso clássico de Cross-Site Request Forgery (CSRF) aplicado ao mundo dos agentes autônomos: bastava a vítima clicar em uma URL aparentemente inofensiva do domínio chatgpt.com para que um agente controlado pelo atacante fosse construído, autorizado e publicado silenciosamente dentro do tenant corporativo.
A OpenAI foi notificada em processo de divulgação responsável e liberou a correção em 8 de junho de 2026. A empresa também anunciou que descontinuará o Agent Builder em 30 de novembro de 2026, orientando os usuários a migrarem para o Agents SDK. Ainda assim, o caso serve como um dos exemplos mais concretos de superfície de ataque em agentes de IA integrados a dados corporativos sensíveis.
O AgentForger explora uma escolha de design do Agent Builder, a interface visual de arrastar e soltar que permite montar fluxos de trabalho multi-etapa. A ferramenta aceitava dois parâmetros na URL — template_name e initial_assistant_prompt — e, ao carregar a página, submetia automaticamente o prompt embutido. Em outras palavras, uma instrução colocada no link virava o primeiro comando executado pelo Builder, sem qualquer interação humana adicional.
O fluxo do ataque é engenhoso justamente por explorar o próprio mecanismo de confiança da plataforma. O atacante monta uma URL do tipo chatgpt.com/agents/studio/new com o template chief-of-staff e um prompt malicioso pré-carregado. Ao receber o link por e-mail ou mensagem, o funcionário autenticado abre a página, e o Builder passa a executar o prompt como se fosse uma ordem legítima do próprio usuário. O template escolhido não é aleatório: o chief-of-staff foi criado para consultar conectores de produtividade e montar briefings executivos, o que dá ao agente forjado acesso amplo aos dados do workspace.
Segundo os pesquisadores, o momento crítico é a etapa de Preview do Builder. A Zenity descobriu que o Preview Mode não é apenas uma pré-visualização visual — ele efetivamente executa o agente recém-criado contra os conectores autenticados da vítima, respeitando as configurações de aprovação que acabaram de ser definidas pelo prompt malicioso, muitas vezes com aprovação humana desabilitada.
“No fim das contas, o AgentForger é uma falha de confiança no agente: a plataforma parte do pressuposto de que o usuário criou, aprovou, agendou e operou o agente de forma intencional”, explicou Mike Takahashi, pesquisador de AI Red Team da Zenity.
Depois de publicado e agendado, o agente forjado se torna persistente. O atacante nem precisa que a vítima clique em outro link ou que a aba do Builder continue aberta: basta enviar TASK emails para a caixa postal do funcionário, e cada mensagem se transforma em uma nova instrução para o agente executar dentro do ambiente corporativo.
O impacto potencial é amplo, mas depende de dois pré-requisitos que hoje são padrão em times que adotaram o ChatGPT em ambiente corporativo:
Uma vez estabelecido o agente rogue, os cenários de abuso descritos pela Zenity incluem exfiltração silenciosa de e-mails e documentos, envio de links de phishing para colegas via Teams se passando pela vítima, redirecionamento para páginas falsas de login da Microsoft para captura de credenciais e, a partir daí, escalada em direção a Business Email Compromise (BEC) e comprometimento de outros funcionários da mesma organização.
O AgentForger é um marco importante porque materializa em produção uma classe de risco que a comunidade de segurança vinha discutindo desde os primeiros lançamentos de plataformas de agentes de IA: a fronteira de confiança entre o usuário humano, o modelo de linguagem e as integrações corporativas simplesmente não sobrevive quando parâmetros de URL viram instruções executáveis. Diferente de um XSS clássico, que rouba uma sessão, aqui o atacante fabrica um novo ator dentro do sistema — um agente com identidade, agenda e persistência próprias.
O caso também dialoga com incidentes recentes envolvendo agentes autônomos e prompt injection. No mês passado, a própria Zenity documentou como grupos maliciosos abusam de recursos live web em plataformas de agentes, e a Anthropic publicou análises sobre como conectores de produtividade podem ser explorados por instruções escondidas em documentos. A tendência é clara: o vetor de entrada não é mais apenas o navegador ou o e-mail, é o próprio prompt e a URL que carrega estado do agente. Enquanto essas plataformas não amadurecerem o conceito de “confiança do agente” como algo separado da sessão do usuário, veremos variações desse ataque em cada nova ferramenta que integre modelo, conectores e execução automática.
Para times de segurança brasileiros, o alerta é duplo. Primeiro, a corrida por adoção de agentes de IA em áreas como jurídico, financeiro e RH está criando pontos de integração com Google Workspace e Microsoft 365 que raramente passam por revisão de arquitetura. Segundo, a maioria dos SIEMs e EDRs ainda não instrumenta chamadas ao ChatGPT, Copilot ou Gemini como eventos auditáveis — a criação e execução de um agente forjado seria invisível ao SOC atual.
Fonte: The Hacker News
Janelia, Cambridge, o MRC LMB e o Google Research publicaram na Cell o sistema nervoso…
A Alibaba liberou sob licença Apache 2.0 um modelo de visão e linguagem voltado a…
A Unit 42 analisou duas campanhas ativas na América Latina em que os operadores usaram…
A falha CVE-2026-85046, uma confusão de tipos no motor V8, já era usada em ataques…
Duas campanhas pré-registradas de pesquisadores britânicos pararam antes da pergunta central: o instrumento de medição…
O primeiro modelo multimodal da família V4 saiu do Hugging Face com 304,6 bilhões de…