AgentForger: falha no ChatGPT Agent Builder permitia sequestrar agentes de IA com um único link

Uma falha crítica batizada de AgentForger permitia que um único clique em um link de phishing criasse, autorizasse e implantasse um agente autônomo do ChatGPT dentro do ambiente corporativo da vítima. A vulnerabilidade, divulgada pela Zenity Labs e corrigida pela OpenAI em 8 de junho de 2026, transformava o Agent Builder em uma máquina de espionagem persistente com acesso aos conectores de Google Workspace, Microsoft 365 e Teams do funcionário atingido.

O que aconteceu

Pesquisadores da Zenity Labs revelaram nesta semana os detalhes técnicos de uma vulnerabilidade classificada como crítica no ChatGPT Workspace Agents, o produto da OpenAI voltado para automação corporativa. A falha, batizada de AgentForger, é um caso clássico de Cross-Site Request Forgery (CSRF) aplicado ao mundo dos agentes autônomos: bastava a vítima clicar em uma URL aparentemente inofensiva do domínio chatgpt.com para que um agente controlado pelo atacante fosse construído, autorizado e publicado silenciosamente dentro do tenant corporativo.

A OpenAI foi notificada em processo de divulgação responsável e liberou a correção em 8 de junho de 2026. A empresa também anunciou que descontinuará o Agent Builder em 30 de novembro de 2026, orientando os usuários a migrarem para o Agents SDK. Ainda assim, o caso serve como um dos exemplos mais concretos de superfície de ataque em agentes de IA integrados a dados corporativos sensíveis.

O AgentForger explora uma escolha de design do Agent Builder, a interface visual de arrastar e soltar que permite montar fluxos de trabalho multi-etapa. A ferramenta aceitava dois parâmetros na URL — template_name e initial_assistant_prompt — e, ao carregar a página, submetia automaticamente o prompt embutido. Em outras palavras, uma instrução colocada no link virava o primeiro comando executado pelo Builder, sem qualquer interação humana adicional.

Como o ataque funciona

O fluxo do ataque é engenhoso justamente por explorar o próprio mecanismo de confiança da plataforma. O atacante monta uma URL do tipo chatgpt.com/agents/studio/new com o template chief-of-staff e um prompt malicioso pré-carregado. Ao receber o link por e-mail ou mensagem, o funcionário autenticado abre a página, e o Builder passa a executar o prompt como se fosse uma ordem legítima do próprio usuário. O template escolhido não é aleatório: o chief-of-staff foi criado para consultar conectores de produtividade e montar briefings executivos, o que dá ao agente forjado acesso amplo aos dados do workspace.

Segundo os pesquisadores, o momento crítico é a etapa de Preview do Builder. A Zenity descobriu que o Preview Mode não é apenas uma pré-visualização visual — ele efetivamente executa o agente recém-criado contra os conectores autenticados da vítima, respeitando as configurações de aprovação que acabaram de ser definidas pelo prompt malicioso, muitas vezes com aprovação humana desabilitada.

“No fim das contas, o AgentForger é uma falha de confiança no agente: a plataforma parte do pressuposto de que o usuário criou, aprovou, agendou e operou o agente de forma intencional”, explicou Mike Takahashi, pesquisador de AI Red Team da Zenity.

Depois de publicado e agendado, o agente forjado se torna persistente. O atacante nem precisa que a vítima clique em outro link ou que a aba do Builder continue aberta: basta enviar TASK emails para a caixa postal do funcionário, e cada mensagem se transforma em uma nova instrução para o agente executar dentro do ambiente corporativo.

Quem é afetado e por quê

O impacto potencial é amplo, mas depende de dois pré-requisitos que hoje são padrão em times que adotaram o ChatGPT em ambiente corporativo:

• Usuário logado no ChatGPT com sessão ativa no navegador no momento do clique.
• Conectores de terceiros (Google Workspace, Microsoft 365, Slack, Teams, GitHub, entre outros) já autorizados na conta.
• Uso do Agent Builder ou familiaridade prévia da vítima com a criação de agentes.

Uma vez estabelecido o agente rogue, os cenários de abuso descritos pela Zenity incluem exfiltração silenciosa de e-mails e documentos, envio de links de phishing para colegas via Teams se passando pela vítima, redirecionamento para páginas falsas de login da Microsoft para captura de credenciais e, a partir daí, escalada em direção a Business Email Compromise (BEC) e comprometimento de outros funcionários da mesma organização.

Análise

O AgentForger é um marco importante porque materializa em produção uma classe de risco que a comunidade de segurança vinha discutindo desde os primeiros lançamentos de plataformas de agentes de IA: a fronteira de confiança entre o usuário humano, o modelo de linguagem e as integrações corporativas simplesmente não sobrevive quando parâmetros de URL viram instruções executáveis. Diferente de um XSS clássico, que rouba uma sessão, aqui o atacante fabrica um novo ator dentro do sistema — um agente com identidade, agenda e persistência próprias.

O caso também dialoga com incidentes recentes envolvendo agentes autônomos e prompt injection. No mês passado, a própria Zenity documentou como grupos maliciosos abusam de recursos live web em plataformas de agentes, e a Anthropic publicou análises sobre como conectores de produtividade podem ser explorados por instruções escondidas em documentos. A tendência é clara: o vetor de entrada não é mais apenas o navegador ou o e-mail, é o próprio prompt e a URL que carrega estado do agente. Enquanto essas plataformas não amadurecerem o conceito de “confiança do agente” como algo separado da sessão do usuário, veremos variações desse ataque em cada nova ferramenta que integre modelo, conectores e execução automática.

Para times de segurança brasileiros, o alerta é duplo. Primeiro, a corrida por adoção de agentes de IA em áreas como jurídico, financeiro e RH está criando pontos de integração com Google Workspace e Microsoft 365 que raramente passam por revisão de arquitetura. Segundo, a maioria dos SIEMs e EDRs ainda não instrumenta chamadas ao ChatGPT, Copilot ou Gemini como eventos auditáveis — a criação e execução de um agente forjado seria invisível ao SOC atual.

Recomendações práticas

• Auditar quais conectores corporativos estão autorizados no ChatGPT dos usuários e revogar integrações não utilizadas.
• Habilitar logging de criação e execução de agentes no console administrativo do ChatGPT Enterprise/Team e enviar esses logs para o SIEM.
• Bloquear ou monitorar acessos ao endpoint chatgpt.com/agents/studio/new via proxy corporativo até que sua equipe defina uma política de uso.
• Exigir aprovação humana obrigatória para qualquer ação de agente que envolva envio de mensagens, criação de arquivos ou acesso a e-mails.
• Treinar usuários para desconfiar de links do domínio chatgpt.com recebidos por e-mail ou chat, especialmente aqueles com parâmetros longos na URL.
• Iniciar a migração para o Agents SDK antes do desligamento do Agent Builder em novembro de 2026, revisando controles de autorização no processo.
• Incluir agentes de IA autônomos no escopo dos exercícios de red team e no threat model das aplicações corporativas.

Fonte: The Hacker News