Критична вразливість у ChatGPT Workspace Agents: як один фішинговий лінк міг зламати вашу організацію
Що сталося?
Дослідники у галузі кібербезпеки виявили серйозну уразливість у системі OpenAI ChatGPT Workspace Agents, яка теоретично дозволяла злочинцям за допомогою одного лише фішингового посилання непомітно створити, авторизувати та запустити автономного штучного інтелекту агента всередині корпоративної мережі жертви.
Вразливість отримала кодову назву AgentForger від компанії Zenity Labs. Вже 8 червня 2026 року OpenAI ліквідувала цю загрозу після відповідального розкриття інформації про проблему.
Як це працювало?
Небезпечна атака базувалась на механізмі cross-site request forgery (CSRF) — коли користувач, не підозрюючи нічого лихого, відкривав посилання, яке автоматично створювало всередині його робочого середовища нового агента зі штучним інтелектом. Цей агент отримував доступ, як справжній співробітник, з відключеними запитами на підтвердження дій.
Інструмент Agent Builder, що представляє собою візуальний конструктор з drag-and-drop інтерфейсом, дозволяв будувати складні сценарії поведінки агента. Як виявилося, при завантаженні сторінки інструкції, закладені у параметрах URL, виконувалися відразу, без додаткових підтверджень з боку користувача.
Ключові умови для атаки:
- Жертва має бути авторизована у ChatGPT.
- Користувач повинен мати доступ до Workspace Agents.
- В його обліковому записі має бути принаймні один схвалений конектор (наприклад, інтеграція з Outlook, Gmail, Google Calendar, Google Drive, Slack або Teams).
Якими були кроки атакуючого?
Атака будувалась на використанні спеціально сформованого посилання з шкідливим запитом, що виглядає приблизно так:
chatgpt[.]com/agents/studio/new?template_name=[назва шаблону]&initial_assistant_prompt=[шкідлива інструкція]
Як тільки користувач відкриває це посилання у авторизованій сесії, конструктор автоматично приймає команду та починає виконувати серію дій, зокрема:
- Створення агента з шаблону “начальник штабу”.
- Підключення усіх наявних конекторів з відключенням запитів на підтвердження.
- Запуск агента в режимі онлайн та налаштування автоматичного запуску кожну годину для підтримки постійної активності.
Опція “Preview Mode” (передперегляд) замість звичайної візуальної демонстрації запускала агента відразу ж, виконуючи його команди з усіма правами і доступом.
Що відбувалося під час роботи агента?
- Перевірка пошти на наявність листів із темою, що починається з “TASK”.
- Автоматичне виконання завдань з таких листів.
- Надсилання результатів роботи нападнику у відповідь через електронну пошту.
Небезпечні наслідки для організації
Такий агент стає своєрідним внутрішнім шпигуном, який не лише збирає конфіденційні документи зі сховищ у хмарі чи паролі з месенджерів, а й може імітувати дії користувача. Наприклад, від імені жертви надсилати шкідливі фішингові посилання через Microsoft Teams, що ведуть на підроблені сторінки входу для крадіжки облікових записів.
Зловмисникові не потрібно, щоб користувач знову відкривав посилання або тримав сторінку відкритою – агент сам чекає нові завдання через електронну пошту і виконує їх автономно, що робить атаку особливо тривожною.
Інші вразливості у світі ШІ
Цей випадок стався після того, як експерти показали інші серйозні проблеми безпеки в ШІ, такі як недоліки LiteLLM, вразливості Ollama, а також атаку на інфраструктуру штучного інтелекту з використанням CVE-2024-6587, CVE-2026-40217 і CVE-2026-35029.
Часто сервери моделей і агентські фреймворки відкриваються без захисту, на відомих портах, що робить їх майже беззахисними для сторонніх користувачів. Зловмисники можуть використовувати їх, щоб створювати атаки або запускати свої шкодочинні AI-операції у фоновому режимі, практично непомітно.
