Утечка агентов OpenAI Workspace? OpenAI устранила критическую уязвимость, известную как AgentForger, после того как исследователи продемонстрировали, что один специально сформированный URL-адрес ChatGPT может скрытно создавать и публиковать автономного агента Workspace от имени пользователя. В данной статье под «подделкой агента» (agent forgery) понимается несанкционированное программное создание и планирование ИИ-агента с помощью манипуляции параметрами. По мере распространения корпоративного ИИ в бизнес-ПО, организации все чаще внедряют автономных агентов в повседневные рабочие процессы. Несмотря на оптимизацию сложных операций, такие системы создают новые векторы атак. Когда интерфейсы инициализации интерпретируют непроверенные входные данные URL как исполняемые команды, злоумышленники могут использовать уже авторизованные корпоративные подключения без подтверждения со стороны пользователя.
Хронология и эволюция обнаружения AgentForger
Краткий обзор
- Фирма по кибербезопасности Zenity Labs раскрыла AgentForger — уязвимость в агентах ChatGPT Workspace, позволявшую с помощью одной измененной ссылки создать автономного ИИ-агента.
- OpenAI подтвердила наличие уязвимости через программу Bugcrowd 4 июня 2026 года и выпустила исправление 8 июня, удалив проблемный URL-параметр.
- Созданный агент наследовал существующие подключения пользователя к Outlook, Slack, Teams и SharePoint, обходя стандартные запросы разрешений.
Эволюция интерфейсов корпоративного ПО все больше фокусируется на снижении барьеров для пользователей при настройке. Когда OpenAI представила интерфейс Agent Builder по адресу chatgpt.com/agents/studio/new, система принимала два основных URL-параметра: template_name для выбора конфигурации шаблона и initial_assistant_prompt для передачи текста инструкций.
Однако исследователи безопасности обнаружили, что страница Builder воспринимала ввод через initial_assistant_prompt как немедленные исполняемые инструкции, не требуя ручного подтверждения от пользователя. Если авторизованный сотрудник переходил по специально сформированной ссылке, обладая активными подключениями к корпоративным инструментам, интерфейс автоматически отправлял запрос, создавал агента, устанавливал настройку одобрения в положение «Никогда не спрашивать» и запускал систему в режиме предпросмотра.
Оперативная четырехдневная реакция OpenAI позволила удалить избыточно гибкий параметр до появления доказательств публичного использования, как задокументировано в анализе безопасности Zenity Labs. Тем не менее, инцидент показал, как недостатки инициализации на основе параметров могут нарушить границы корпоративных данных без прямой кражи учетных данных.
Технический разбор: Механика подделки агента
По своей сути уязвимость AgentForger объединила три различных операционных элемента в то, что аналитики безопасности называют «летальной тройкой»: ненадежные URL-параметры, предварительно авторизованные корпоративные коннекторы и автоматизированные графики выполнения. Поскольку целевой пользователь ранее завершил OAuth-авторизацию для таких инструментов, как Microsoft Outlook, Slack или Google Drive, поддельный агент унаследовал эти разрешения, не вызывая дополнительных запросов на доступ.
Для установления постоянного доступа начальный промпт настраивал агента на запуск по повторяющемуся пятиминутному расписанию. Агент отслеживал входящие письма в Outlook по определенным темам, выполнял команды, используя подключенные корпоративные приложения, и пересылал извлеченные данные злоумышленнику.
[Стандартный процесс согласия пользователя] Клик пользователя ──> OAuth Запрос согласия ──> Ручная проверка разрешений ──> Агент активен [Цепочка эксплойта ссылки AgentForger] Фишинговая ссылка ──> Автоматический запрос URL ──> Разрешения «Никогда не спрашивать» ──> Постоянные команды по расписанию
В ходе демонстраций доказательства концепции, подробно описанных в технической сводке SecurityWeek, поддельный агент успешно сопоставлял списки сотрудников компании, извлекал из SharePoint презентации по сделкам M&A, собирал учетные данные из каналов Slack и рассылал внутренние фишинговые сообщения через Microsoft Teams от имени жертвы. OpenAI заявила, что уязвимое поведение было устранено до публичного раскрытия, и в настоящее время нет свидетельств того, что этот изъян использовался в реальных атаках.
Эта уязвимость подчеркивает фундаментальную проблему управления автономными агентами, работающими под легитимными учетными данными пользователей. Традиционные инструменты защиты конечных точек предназначены для мониторинга действий человека и исполнения бинарных файлов, поэтому им сложно обнаружить авторизованного агента, выполняющего действия, разрешенные его токеном OAuth. Решение проблемы уязвимости агентов OpenAI Workspace требует перехода от неявного доверия к сессии к строгой проверке параметров по принципу нулевого доверия (zero-trust) для всех входящих программных каналов.
Разработка против покупки: Управление безопасностью сессий и параметрами ссылок
По мере развертывания ИИ-агентов и интерфейсов глубоких ссылок (deep linking) в мобильных и веб-средах, защита входящих параметров от атак типа «инъекция» становится критически важной. Команды разработки стоят перед стратегическим выбором: создавать собственную логику внутренней проверки или внедрять стандартизированные готовые платформы безопасности.
В таблице ниже приведены распространенные архитектурные подходы к управлению безопасностью ссылок и параметров сессий:
| Решение | Безопасность параметров ссылок | Модель авторизации | Лучшее применение |
|---|---|---|---|
| Неподписанные URL-параметры | Низкая (уязвимы к подмене) | Доверие к сессии на стороне клиента | Базовые нечувствительные веб-редиректы |
| Собственный криптографический валидатор | Высокая (пользовательское хеширование) | Ручная проверка сессии | Сложный специализированный корпоративный бэкенд |
| Серверная платформа атрибуции (напр., OpoInstall) | Высокая (подписанная передача параметров) | Проверка токенов по принципу нулевого доверия | Высоконагруженные мобильные приложения и атрибуция кроссплатформенных кампаний |
В инфраструктуре мобильного роста и глубоких ссылок существует аналогичный паттерн угроз, когда непроверенные параметры запроса URL передаются между границами приложения без криптографической верификации. Коммерческие серверные платформы атрибуции обычно обеспечивают восстановление параметров и проверку подлинности, и могут быть интегрированы с криптографически подписанными рабочими процессами глубоких ссылок. Такие платформы, как OpoInstall, помогают командам защищать глубокие ссылки и поддерживать целостность параметров при запусках мобильных приложений без ресурсоемкой обработки на стороне клиента.
Контрольные списки интеграции: Защита ссылок приложения от внедрения параметров
Для защиты программных конвейеров от внедрения параметров через ссылки и несанкционированного создания агентов инженерным командам и специалистам по безопасности следует внедрить структурированные рабочие процессы проверки.
Контрольный список для разработчиков
- Очистка входящих URL-параметров: Рассматривайте все параметры запроса как ненадежные входные данные, требующие явного подтверждения пользователя перед выполнением инструкций, изменяющих состояние.
- Использование криптографических подписей: Внедрите HMAC или цифровые подписи для параметров глубоких ссылок, чтобы предотвратить подмену URL при передаче.
- Применение гранулярных областей коннекторов: Ограничьте разрешения фоновых агентов, принудительно запрашивая явное подтверждение для чувствительных операций чтения, записи и экспорта.
Контрольный список для стратегии продукта и роста
- Аудит предварительно авторизованных интеграций: Регулярно проверяйте коннекторы сторонних приложений и отзывайте неактивные разрешения OAuth в корпоративных рабочих пространствах.
- Мониторинг автоматизированных рабочих процессов: Разверните поведенческое логирование для обнаружения высокочастотных автоматизированных API-запросов, работающих вне стандартного рабочего времени.
- Проверка целостности ссылок по каналам: Убедитесь, что маркетинговые и глубокие ссылки используют безопасные серверные платформы передачи параметров для предотвращения перехвата ссылок.
Часто задаваемые вопросы (FAQ)
Что такое уязвимость AgentForger в агентах ChatGPT Workspace?
Как AgentForger обходила стандартные запросы на согласие OAuth?
Устранена ли уязвимость AgentForger компанией OpenAI?
Практические выводы и прогнозы на будущее
Раскрытие AgentForger знаменует собой важную веху в развитии безопасности корпоративного ИИ. По мере того как программные агенты обретают автономность и получают доступ к критически важным бизнес-приложениям, защита слоя инициализации становится такой же жизненно важной, как и защита стандартных точек аутентификации. Опора на неявное доверие к сессии или непроверенные URL-параметры создает системные риски, когда автономные инструменты действуют от имени пользователей.
Для инженерных команд создание безопасных цифровых операций требует внедрения строгой проверки параметров, API-границ с нулевым доверием и прозрачных моделей разрешений. Сочетая надежные методы безопасности со стандартизированной серверной инфраструктурой, организации могут использовать продуктивность автономного ИИ, обеспечивая при этом защиту критически важных корпоративных данных.
Share this article
