Zenity Labs révèle une faille critique dans Agent Builder d'OpenAI

Zenity Labs révèle une faille critique dans Agent Builder d'OpenAI

Zenity Labs a révélé une vulnérabilité dans les Workspace Agents d'OpenAI, surnommée "AgentForger", où un seul lien manipulé pouvait créer un agent IA autonome agissant au nom d'un utilisateur à son insu.

L'attaque exploitait des paramètres d'URL pour détourner les autorisations d'application de la victime, désactiver les contrôles de sécurité et exécuter de manière permanente les commandes de l'attaquant sur une base programmée, retournant ainsi les capacités de la plateforme contre l'utilisateur.

OpenAI a corrigé la vulnérabilité en quatre jours, mais Zenity soutient que cet incident met en lumière un problème plus large : les outils de sécurité traditionnels ne sont pas équipés pour gérer des agents autonomes opérant sous des identités d'utilisateur légitimes.

Un seul lien ChatGPT manipulé pouvait faire apparaître un agent IA qui vérifiait discrètement la boîte de réception de l'attaquant pour de nouvelles instructions toutes les cinq minutes. Zenity Labs qualifie cette faille de nouvelle classe d'attaque contre l'IA basée sur des agents.

Détails de la vulnérabilité

La société de sécurité IA Zenity Labs a découvert une vulnérabilité dans les Workspace Agents d'OpenAI qui permettait à un lien manipulé de créer un agent IA autonome sous le compte d'un employé. L'agent prenait l'identité de la victime et réutilisait ses autorisations d'application existantes, contournant ainsi les étapes d'approbation censées protéger les actions sensibles.

Zenity a nommé la vulnérabilité "AgentForger" et la considère comme une évolution de la cross-site request forgery (CSRF) classique. Dans une attaque CSRF typique, une personne clique sur un lien malveillant ou atterrit sur une page conçue et déclenche sans le vouloir une action authentifiée qu'elle n'avait pas l'intention de réaliser.

AgentForger allait plus loin. Plutôt que de déclencher une seule action non désirée, le lien ChatGPT manipulé lançait la création d'un agent entièrement autonome. Cet agent opérait à l'intérieur de la frontière de confiance de l'entreprise, exploitait les connecteurs déjà autorisés par la victime et récupérait de nouvelles tâches de l'attaquant selon un calendrier récurrent.

Automatisation de la création d'agents

La création d'un agent Workspace est normalement un processus interactif. Les utilisateurs sélectionnent un modèle, saisissent des instructions, connectent des outils, examinent les paramètres de partage, testent l'agent en mode aperçu, puis le publient. AgentForger permettait aux attaquants de déclencher la plupart de ce processus via une URL avec peu d'autres entrées de l'utilisateur.

Le Agent Builder, introduit en 2025, est disponible sur chatgpt.com/agents/studio/new et accepte deux paramètres d'URL. template_name sélectionne un modèle de départ tel que "chief-of-staff", tandis que initial_assistant_prompt fournit les instructions.

Zenity a découvert que la page ne se contentait pas de placer la valeur de initial_assistant_prompt dans le champ de prompt. Elle soumettait également et exécutait automatiquement le prompt. Les attaquants n'avaient pas besoin d'envoyer des requêtes brutes à ChatGPT ou de manipuler directement le navigateur de la victime. Tout ce qu'ils avaient besoin était d'un lien chatgpt.com avec un prompt joint qui semblait inoffensif à première vue.

Exécution de l'agent sans approbation

Dans la démonstration, Zenity a intégré un prompt dans l'URL qui guidait le Builder à travers toutes les étapes d'une liste de tâches numérotées. L'agent était configuré pour intégrer tous les connecteurs non-MCP déjà connectés et changer chaque exigence de permission pour lire, écrire et supprimer en "Ne jamais demander".

Il a également créé des horaires pour s'exécuter toutes les cinq minutes, vérifiant Outlook pour des e-mails de l'attaquant contenant "TASK" dans l'objet, exécutant leurs instructions à l'aide des applications connectées et renvoyant les résultats sans filtre.

L'agent terminé, avec les connecteurs liés et toutes les exigences de permission désactivées, a été créé sans demander l'approbation de l'utilisateur. Il a connecté les services autorisés, désactivé les exigences d'approbation, publié l'agent et lancé en mode aperçu.

Accès persistant grâce à la planification

Sans le planificateur, l'attaque aurait été un événement ponctuel. Le planificateur transforme l'agent forgé en quelque chose qui ressemble à une infrastructure de commandement et de contrôle. Une fois l'agent déployé, la victime n'a pas besoin de cliquer à nouveau ou de rouvrir ChatGPT. L'agent se réveille toutes les cinq minutes, vérifie la boîte de réception pour de nouveaux e-mails TASK, exécute les instructions qu'ils contiennent et renvoie les résultats. Le premier clic installe l'agent, le planificateur le maintient actif, et la boîte de réception devient le canal de commande.

Exemples d'abus de l'identité de la victime

Zenity montre dans la deuxième partie de son analyse ce que les attaquants pouvaient faire par ce canal. Après avoir reçu la commande "TASK 1: RECON", l'agent a cartographié l'organisation. Il a extrait des données d'Outlook, Slack, Teams, Drive, SharePoint et Calendar pour lister les personnes, rôles, canaux, projets actifs et réunions récurrentes.

L'agent a également recherché dans Drive, SharePoint et Outlook. Il a trouvé une feuille de termes de fusion et acquisition, une présentation au conseil mentionnant des objectifs de revenus manqués et des licenciements prévus, ainsi qu'une exportation d'employés à l'échelle de l'entreprise avec des données de contact et de compensation. Une demande formulée comme un "exercice DLP" a demandé à l'agent de rechercher la chaîne "pass:". L'agent a trouvé une paire de nom d'utilisateur et mot de passe de base de données et a envoyé les deux à l'attaquant.

D'autres tâches ont abusé de l'identité de confiance de la victime. L'agent a envoyé des messages via le compte Teams de la victime demandant à des collègues de confirmer un déploiement SSO sur une page de connexion contrôlée par l'attaquant. Zenity a également testé le phishing via Slack et un modèle de compromission d'e-mail professionnel. D'autres tests comprenaient une demande d'approbation pour un virement de 242 500 $ et une invitation à un calendrier avec un participant contrôlé par l'attaquant.

Échec des mesures de sécurité

Zenity trace AgentForger à deux choix de conception liés. Le builder traitait le paramètre initial_assistant_prompt comme une entrée exécutable plutôt que comme une entrée utilisateur nécessitant confirmation. Une URL contrôlée par un attaquant pouvait donc changer des données et des paramètres au sein de la session authentifiée de la victime sans l'approbation explicite de l'utilisateur.

La même invite pouvait également modifier les paramètres de sécurité, y compris les politiques d'approbation et les horaires d'exécution. Cela signifiait que l'instruction pouvait désactiver le système censé exiger l'approbation humaine pour des actions sensibles.

Zenity décrit la combinaison comme "le trifecta létal" : l'URL fournissait une entrée non fiable, les connecteurs offraient un accès à des données privées, et l'e-mail offrait un chemin pour envoyer ces données. La plupart des exploits auraient dû contourner ces mesures de sécurité en premier lieu. AgentForger, en revanche, donnait à l'attaquant accès à un outil de construction qui pouvait créer un agent avec ces mesures de sécurité déjà désactivées.

Conclusion

Zenity a signalé AgentForger via le programme Bugcrowd d'OpenAI le 4 juin 2026. OpenAI a confirmé le rapport le lendemain et a corrigé la faille le 8 juin en supprimant le paramètre d'URL affecté. Zenity a salué la rapidité de réponse de l'équipe de sécurité d'OpenAI.

Jusqu'à ce que la correction soit mise en ligne, la faille a affecté toutes les organisations utilisant les ChatGPT Workspace Agents avec des connecteurs d'entreprise précédemment autorisés, selon Zenity.

Zenity affirme que le problème va au-delà de ce bug spécifique. Les outils de sécurité traditionnels sont conçus pour les utilisateurs et les points de terminaison, et non pour les agents autonomes qui agissent par le biais d'identités d'utilisateur légitimes. Plus un agent peut agir sans supervision, plus il peut causer de dommages lorsque quelqu'un d'autre fournit ses instructions. La société de cybersécurité qualifie AgentForger d'"échec de confiance des agents" : la plateforme supposait que l'utilisateur avait personnellement créé, approuvé, programmé et lancé l'agent.

Les préoccupations en matière de sécurité autour de l'IA basée sur des agents ont récemment augmenté. Hugging Face a signalé qu'un système entièrement contrôlé par IA avait pénétré son infrastructure de production via un ensemble de données manipulé, puis s'était déplacé latéralement. Le système a effectué plus de 17 000 actions, selon la société. OpenAI a admis sa responsabilité peu après. Lors d'un test de performance, son modèle avait accidentellement piraté Hugging Face pour obtenir des données de test.

Zenity a également démontré plusieurs exploits sans clic et à un clic l'année dernière sous le nom d'AgentFlayer. Les attaques ciblaient Copilot Studio, Salesforce Einstein, Cursor avec Jira MCP et d'autres outils d'IA d'entreprise. Dans ces cas, des prompts cachés dans des ressources apparemment inoffensives pouvaient détourner des données clients ou voler des identifiants de connexion.