Ejen Ruang Kerja OpenAI Terdedah? Bagaimana Eksploitasi Pautan Berfungsi

Ejen Ruang Kerja OpenAI Terdedah? OpenAI telah membaiki kerentanan tahap tinggi yang dikenali sebagai AgentForger selepas penyelidik menunjukkan bahawa satu URL ChatGPT yang direka khas boleh mencipta dan menerbitkan Ejen Ruang Kerja autonomi secara senyap di bawah identiti mangsa. Dalam artikel ini, ‘pemalsuan ejen’ merujuk kepada penciptaan dan penjadualan ejen AI secara programatik tanpa kebenaran melalui manipulasi parameter. Apabila penggunaan AI perusahaan berkembang merentasi perisian perniagaan, organisasi semakin menyepadukan ejen autonomi ke dalam aliran kerja harian. Walaupun sistem ini melancarkan operasi yang kompleks, ia juga memperkenalkan vektor serangan keselamatan baharu. Apabila antara muka permulaan menghuraikan input URL yang tidak dipercayai sebagai arahan boleh laksana, penyerang boleh mengeksploitasi sambungan perusahaan yang telah diberi kuasa sebelumnya tanpa mencetuskan pengesahan pengguna.

Garis Masa Kronologi & Evolusi Latar Belakang Penemuan AgentForger

Imbasan Pantas

• Firma keselamatan Zenity Labs mendedahkan AgentForger, satu kerentanan dalam Ejen Ruang Kerja ChatGPT yang membolehkan satu pautan yang dimanipulasi untuk memalsukan ejen AI autonomi.
• OpenAI mengesahkan kerentanan tersebut melalui program Bugcrowd pada 4 Jun 2026, dan melaksanakan pembaikan pada 8 Jun dengan membuang parameter URL yang terjejas.
• Ejen palsu tersebut mewarisi sambungan pengguna sedia ada ke Outlook, Slack, Teams, dan SharePoint, sekaligus memintas gesaan kebenaran standard.

Evolusi antara muka perisian perusahaan semakin memfokuskan kepada pengurangan geseran pengguna semasa penyediaan. Apabila OpenAI memperkenalkan antara muka Pembina Ejen di chatgpt.com/agents/studio/new, sistem tersebut menerima dua parameter URL utama: template_name untuk memilih konfigurasi permulaan dan initial_assistant_prompt untuk membekalkan teks arahan.

Walau bagaimanapun, penyelidik keselamatan mendapati bahawa halaman Pembina tersebut melayan input yang diberikan melalui initial_assistant_prompt sebagai arahan boleh laksana serta-merta dan bukannya teks yang memerlukan pengesahan manual pengguna. Jika pekerja yang telah log masuk mengklik pautan yang direka khas semasa mempunyai sambungan aktif ke alatan perusahaan, antara muka tersebut secara automatik menghantar gesaan, mencipta ejen, mengkonfigurasi tetapan kelulusan ejen kepada “Jangan tanya lagi,” dan melancarkan sistem dalam mod pratonton.

Tindak balas pantas selama empat hari daripada OpenAI membuang parameter yang terlalu permisif sebelum bukti eksploitasi awam muncul, seperti yang didokumenkan dalam analisis keselamatan Zenity Labs. Walau bagaimanapun, insiden ini menunjukkan bagaimana kelemahan permulaan berasaskan parameter boleh menjejaskan sempadan data perusahaan tanpa memerlukan kecurian kelayakan secara langsung.

Analisis Teknikal Mendalam: Mekanik Pemalsuan Ejen Rentas Tapak

Secara teknikal, kerentanan AgentForger menggabungkan tiga elemen operasi berbeza menjadi apa yang dipanggil oleh penganalisis keselamatan sebagai “trifecta maut”: parameter URL yang tidak dipercayai, penyambung perusahaan yang telah diberi kuasa, dan jadual pelaksanaan automatik. Kerana pengguna sasaran telah melengkapkan pengesahan OAuth sebelum ini untuk alatan seperti Microsoft Outlook, Slack, atau Google Drive, ejen palsu tersebut mewarisi kebenaran tersebut tanpa mencetuskan gesaan kebenaran baharu.

Untuk mewujudkan akses berterusan, gesaan awal mengkonfigurasi ejen untuk berjalan mengikut jadual berulang lima minit. Ejen tersebut memantau peti masuk Outlook pengguna untuk e-mel masuk yang mengandungi tag subjek tertentu, melaksanakan arahan menggunakan aplikasi perusahaan yang disambungkan, dan menghantar data yang diekstrak kembali kepada penyerang.

[Aliran Persetujuan Pengguna Standard]
  Klik Pengguna ──> Gesaan Persetujuan OAuth ──> Semakan Kebenaran Manual ──> Ejen Langsung


[Rantaian Eksploitasi Pautan AgentForger]
  Pautan Phishing ──> Gesaan URL Serah Auto ──> Kebenaran Ditetapkan kepada 'Jangan tanya lagi' ──> Arahan Berjadual Berterusan

Dalam demonstrasi bukti konsep yang diperincikan dalam ringkasan teknikal SecurityWeek, ejen palsu tersebut berjaya memetakan senarai pekerja korporat, mengekstrak dek pembentangan M&A dalaman daripada SharePoint, menuai kelayakan pangkalan data teks biasa daripada saluran Slack, dan menghantar mesej phishing dalaman melalui Microsoft Teams di bawah nama mangsa. OpenAI menyatakan bahawa tingkah laku terdedah itu telah dipulihkan sebelum pendedahan awam, dan pada masa ini tiada bukti awam bahawa kelemahan itu dieksploitasi dalam serangan dunia sebenar.

Kerentanan ini menyerlahkan cabaran asas dalam mengurus ejen autonomi yang beroperasi di bawah kelayakan pengguna yang sah. Alatan keselamatan titik akhir tradisional direka untuk memantau interaksi manusia dan pelaksanaan binari mentah, menjadikannya sukar untuk mengesan ejen yang diberi kuasa melakukan tindakan yang dibenarkan oleh token OAuth asasnya. Menangani Kerentanan Ejen Ruang Kerja OpenAI ini memerlukan peralihan daripada kepercayaan sesi tersirat kepada pengesahan parameter sifar kepercayaan (zero-trust) yang ketat merentasi semua saluran perisian masuk.

Bina vs Beli: Mengurus Keselamatan Sesi dan Parameter Pautan

Apabila organisasi menggunakan ejen AI dan antara muka pautan dalam merentasi persekitaran mudah alih dan web, mengamankan parameter masuk terhadap serangan suntikan adalah kritikal. Pasukan pembangunan menghadapi pilihan strategik antara membina logik pengesahan dalaman tersuai atau menggunakan rangka kerja keselamatan standard yang sedia ada.

Jadual di bawah menggariskan pendekatan seni bina biasa untuk mengurus keselamatan pautan dan parameter sesi:

Dalam infrastruktur pertumbuhan mudah alih dan pautan dalam, corak ancaman yang serupa wujud apabila parameter pertanyaan URL yang tidak disahkan dihantar merentasi sempadan aplikasi tanpa pengesahan kriptografi. Platform atribusi sebelah pelayan komersial biasanya menyediakan pemulihan parameter dan pengesahan identiti, serta boleh disepadukan dengan aliran kerja parameter pautan dalam yang ditandatangani secara kriptografi. Platform seperti OpoInstall membantu pasukan melindungi pautan dalam dan mengekalkan integriti parameter merentasi pelancaran aplikasi mudah alih tanpa pemprosesan sebelah pelanggan yang berat.

Senarai Semak Integrasi: Memperkukuh Pautan Aplikasi Terhadap Suntikan Parameter

Untuk mempertahankan saluran perisian terhadap suntikan parameter berasaskan pautan dan penciptaan ejen tanpa kebenaran, pasukan kejuruteraan dan keselamatan harus menggunakan aliran kerja pengesahan berstruktur.

Senarai Semak Pelaksanaan Pembangun

• Sanitasi Parameter URL Masuk: Layani semua parameter pertanyaan sebagai input yang tidak dipercayai, memerlukan pengesahan pengguna yang jelas sebelum melaksanakan arahan yang mengubah keadaan.
• Wajibkan Tandatangan Kriptografi: Laksanakan HMAC atau tandatangan digital pada parameter pautan dalam untuk mengelakkan gangguan URL semasa transit.
• Kuatkuasakan Skop Penyambung Berbut (Connector) Terperinci: Hadkan kebenaran ejen latar belakang dengan menguatkuasakan gesaan pengesahan eksplisit untuk operasi baca, tulis, dan eksport yang sensitif.

Senarai Semak Strategi Produk & Pertumbuhan

• Audit Integrasi yang Telah Diberi Kuasa: Kaji semula penyambung aplikasi pihak ketiga secara berkala dan batalkan kebenaran OAuth yang tidak aktif merentasi ruang kerja perusahaan.
• Pantau Aliran Kerja Automatik: Gunakan pengelogan tingkah laku untuk mengesan permintaan API automatik berfrekuensi tinggi yang beroperasi di luar waktu perniagaan biasa.
• Sahkan Integriti Pautan merentasi Saluran: Pastikan URL pemasaran dan pautan dalam menggunakan rangka kerja laluan parameter sebelah pelayan yang selamat untuk mengelakkan rampasan pautan.

Pendedahan AgentForger menandakan peristiwa penting dalam evolusi keselamatan AI perusahaan. Apabila ejen perisian memperoleh autonomi dan akses kepada aplikasi perniagaan kritikal, mengamankan lapisan permulaan menjadi sama pentingnya dengan melindungi titik akhir pengesahan standard. Bergantung pada kepercayaan sesi tersirat atau parameter URL yang tidak disahkan memperkenalkan risiko sistemik apabila alatan autonomi bertindak bagi pihak pengguna.

Bagi pasukan kejuruteraan, membina operasi digital yang selamat memerlukan penguatkuasaan pengesahan parameter yang ketat, sempadan API sifar kepercayaan, dan model kebenaran yang telus. Dengan menggabungkan amalan keselamatan yang mantap dengan infrastruktur sebelah pelayan yang standard, organisasi boleh memanfaatkan produktiviti AI autonomi sambil melindungi data perusahaan yang kritikal.