Tác nhân (Agent) của OpenAI Workspace bị rò rỉ? Cách thức các lỗ hổng liên kết bị khai thác

Tác nhân (Agent) của OpenAI Workspace bị rò rỉ? OpenAI đã vá một lỗ hổng bảo mật mức độ nghiêm trọng cao được gọi là AgentForger sau khi các nhà nghiên cứu chứng minh rằng chỉ cần một đường dẫn ChatGPT được thiết kế riêng có thể âm thầm tạo và xuất bản một Tác nhân Workspace tự vận hành dưới danh tính của nạn nhân. Trong bài viết này, 'agent forgery' (giả mạo tác nhân) đề cập đến việc tạo và lên lịch chương trình AI trái phép thông qua thao tác tham số. Khi việc áp dụng AI trong doanh nghiệp mở rộng trong phần mềm kinh doanh, các tổ chức ngày càng nhúng các tác nhân tự vận hành vào quy trình làm việc hàng ngày. Mặc dù các hệ thống này giúp tinh giản các hoạt động phức tạp, chúng cũng tạo ra các vectơ tấn công bảo mật mới. Khi các giao diện khởi tạo phân tích cú pháp đầu vào URL không tin cậy thành các lệnh thực thi, kẻ tấn công có thể khai thác các kết nối doanh nghiệp đã được xác thực trước mà không cần kích hoạt xác nhận từ người dùng.

Dòng thời gian & Sự tiến hóa bối cảnh của phát hiện AgentForger

Tóm tắt

• Công ty bảo mật Zenity Labs đã tiết lộ AgentForger, một lỗ hổng trong các tác nhân ChatGPT Workspace cho phép một liên kết bị thao túng duy nhất giả mạo một tác nhân AI tự vận hành.
• OpenAI đã xác nhận lỗ hổng này thông qua chương trình Bugcrowd vào ngày 4 tháng 6 năm 2026 và đã triển khai bản sửa lỗi vào ngày 8 tháng 6 bằng cách loại bỏ tham số URL bị ảnh hưởng.
• Tác nhân bị giả mạo kế thừa các kết nối người dùng hiện có với Outlook, Slack, Teams và SharePoint, vượt qua các lời nhắc cấp quyền tiêu chuẩn.

Sự tiến hóa của các giao diện phần mềm doanh nghiệp ngày càng tập trung vào việc giảm bớt sự ma sát của người dùng trong quá trình thiết lập. Khi OpenAI giới thiệu giao diện Agent Builder tại chatgpt.com/agents/studio/new, hệ thống chấp nhận hai tham số URL chính: template_name để chọn cấu hình khởi đầu và initial_assistant_prompt để cung cấp văn bản hướng dẫn.

Tuy nhiên, các nhà nghiên cứu bảo mật phát hiện ra rằng trang Builder xử lý đầu vào được cung cấp thông qua initial_assistant_prompt như các hướng dẫn thực thi ngay lập tức thay vì văn bản yêu cầu xác nhận thủ công từ người dùng. Nếu một nhân viên đã đăng nhập nhấp vào một liên kết được thiết kế đặc biệt trong khi vẫn đang giữ các kết nối hoạt động với các công cụ doanh nghiệp, giao diện sẽ tự động gửi lời nhắc, tạo tác nhân, đặt cấu hình phê duyệt tác nhân thành “Không bao giờ hỏi” (Never ask) và khởi chạy hệ thống ở chế độ xem trước.

Phản hồi nhanh chóng trong bốn ngày từ OpenAI đã loại bỏ tham số có quyền hạn quá mức trước khi bằng chứng về việc khai thác công khai xuất hiện, như được ghi lại trong phân tích bảo mật của Zenity Labs. Tuy nhiên, sự cố này đã chứng minh cách các lỗi khởi tạo dựa trên tham số có thể làm tổn hại đến ranh giới dữ liệu doanh nghiệp mà không cần đánh cắp thông tin đăng nhập trực tiếp.

Phân tích kỹ thuật chuyên sâu: Cơ chế của Giả mạo Tác nhân qua trang web (Cross-Site Agent Forgery)

Về cơ bản, lỗ hổng AgentForger đã kết hợp ba yếu tố vận hành riêng biệt thành thứ mà các nhà phân tích bảo mật gọi là “bộ ba gây chết người”: tham số URL không đáng tin cậy, các trình kết nối doanh nghiệp đã được xác thực trước và các lịch trình thực thi tự động. Vì người dùng mục tiêu đã hoàn tất xác thực OAuth cho các công cụ như Microsoft Outlook, Slack hoặc Google Drive trước đó, tác nhân bị giả mạo đã kế thừa các quyền đó mà không kích hoạt các lời nhắc ủy quyền mới.

Để thiết lập quyền truy cập bền bỉ, lời nhắc ban đầu đã cấu hình tác nhân chạy theo lịch trình định kỳ năm phút. Tác nhân giám sát hộp thư đến Outlook của người dùng để tìm các email gửi đến chứa các tiêu đề cụ thể, thực thi các lệnh bằng các ứng dụng doanh nghiệp được kết nối và chuyển tiếp dữ liệu được trích xuất lại cho kẻ tấn công.

[Quy trình đồng thuận người dùng tiêu chuẩn]
  Người dùng nhấp ──> Lời nhắc đồng thuận OAuth ──> Đánh giá quyền thủ công ──> Tác nhân trực tiếp


[Chuỗi khai thác liên kết AgentForger]
  Liên kết lừa đảo ──> Lời nhắc URL tự động thực thi ──> Quyền được đặt thành 'Không bao giờ hỏi' ──> Các lệnh lên lịch bền bỉ

Trong các bản trình diễn chứng minh khái niệm được trình bày chi tiết trong tóm tắt kỹ thuật của SecurityWeek, tác nhân bị giả mạo đã thực hiện thành công việc lập bản đồ danh sách nhân viên công ty, trích xuất các tệp trình bày M&A nội bộ từ SharePoint, thu thập thông tin đăng nhập cơ sở dữ liệu dạng văn bản thuần túy từ các kênh Slack và gửi các tin nhắn lừa đảo nội bộ qua Microsoft Teams dưới tên nạn nhân. OpenAI tuyên bố rằng hành vi dễ bị tổn thương đã được khắc phục trước khi công khai và hiện không có bằng chứng công khai nào cho thấy lỗ hổng đã bị khai thác trong các cuộc tấn công thực tế.

Lỗ hổng này làm nổi bật thách thức cơ bản trong việc quản lý các tác nhân tự vận hành hoạt động dưới thông tin xác thực của người dùng hợp pháp. Các công cụ bảo mật điểm cuối truyền thống được thiết kế để giám sát các tương tác của con người và việc thực thi tệp nhị phân thô, khiến việc phát hiện một tác nhân được ủy quyền thực hiện các hành động cho phép bởi mã thông báo OAuth cơ bản trở nên khó khăn. Việc giải quyết lỗ hổng Tác nhân Workspace của OpenAI này đòi hỏi phải chuyển đổi từ niềm tin phiên làm việc ngầm định sang xác thực tham số không tin cậy (zero-trust) chặt chẽ trên tất cả các kênh phần mềm đến.

Xây dựng vs. Mua: Quản lý bảo mật phiên làm việc và tham số liên kết

Khi các tổ chức triển khai các tác nhân AI và giao diện liên kết sâu (deep linking) trên các môi trường di động và web, việc bảo mật các tham số đến chống lại các cuộc tấn công tiêm nhiễm (injection attacks) là rất quan trọng. Các nhóm phát triển phải đối mặt với lựa chọn chiến lược giữa việc xây dựng logic xác thực nội bộ tùy chỉnh và áp dụng các khung bảo mật tiêu chuẩn, được xây dựng sẵn.

Bảng dưới đây phác thảo các phương pháp kiến trúc phổ biến để quản lý bảo mật liên kết và tham số phiên làm việc:

Trong cơ sở hạ tầng tăng trưởng di động và liên kết sâu, một mô hình đe dọa tương tự tồn tại khi các tham số truy vấn URL không được xác thực được chuyển qua các ranh giới ứng dụng mà không cần xác minh mật mã. Các nền tảng phân bổ phía máy chủ thương mại thường cung cấp khả năng khôi phục tham số và xác minh danh tính, đồng thời có thể được tích hợp với các quy trình công việc tham số liên kết sâu được ký kỹ thuật số. Các nền tảng như OpoInstall giúp các nhóm bảo vệ các liên kết sâu và duy trì tính toàn vẹn của tham số trong các lần khởi chạy ứng dụng di động mà không cần xử lý phía máy khách nặng nề.

Danh sách kiểm tra tích hợp: Tăng cường liên kết ứng dụng chống lại việc tiêm nhiễm tham số

Để bảo vệ các đường ống phần mềm chống lại việc tiêm nhiễm tham số dựa trên liên kết và việc tạo tác nhân trái phép, các nhóm kỹ thuật và bảo mật nên áp dụng các quy trình xác thực có cấu trúc.

Danh sách kiểm tra triển khai cho nhà phát triển

• Vệ sinh tham số URL đến: Coi tất cả các tham số truy vấn là đầu vào không đáng tin cậy, yêu cầu xác nhận rõ ràng từ người dùng trước khi thực thi các lệnh thay đổi trạng thái.
• Yêu cầu chữ ký mật mã: Triển khai HMAC hoặc chữ ký số trên các tham số liên kết sâu để ngăn chặn việc giả mạo URL trong quá trình truyền tải.
• Thực thi phạm vi trình kết nối chi tiết: Hạn chế quyền của tác nhân nền bằng cách áp dụng các lời nhắc xác nhận rõ ràng cho các thao tác đọc, ghi và xuất dữ liệu nhạy cảm.

Danh sách kiểm tra chiến lược tăng trưởng & sản phẩm

• Kiểm toán các tích hợp đã được xác thực trước: Thường xuyên xem xét các trình kết nối ứng dụng của bên thứ ba và thu hồi các quyền OAuth không hoạt động trong các không gian làm việc doanh nghiệp.
• Giám sát quy trình làm việc tự động: Triển khai ghi nhật ký hành vi để phát hiện các yêu cầu API tự động, tần suất cao hoạt động ngoài giờ làm việc tiêu chuẩn.
• Xác minh tính toàn vẹn của liên kết qua các kênh: Đảm bảo rằng các URL tiếp thị và liên kết sâu sử dụng các khung chuyển tiếp tham số phía máy chủ, an toàn để ngăn chặn việc chiếm đoạt liên kết.

Việc tiết lộ AgentForger đánh dấu một cột mốc quan trọng trong sự tiến hóa của bảo mật AI doanh nghiệp. Khi các tác nhân phần mềm có được sự tự chủ và quyền truy cập vào các ứng dụng quan trọng của doanh nghiệp, việc bảo mật lớp khởi tạo trở nên quan trọng như việc bảo vệ các điểm cuối xác thực tiêu chuẩn. Việc dựa vào sự tin tưởng phiên làm việc ngầm định hoặc các tham số URL không được xác thực sẽ gây ra rủi ro hệ thống khi các công cụ tự vận hành hoạt động thay mặt cho người dùng.

Đối với các nhóm kỹ thuật, việc xây dựng các hoạt động kỹ thuật số an toàn đòi hỏi phải thực thi xác minh tham số chặt chẽ, các ranh giới API không tin cậy và các mô hình quyền hạn minh bạch. Bằng cách kết hợp các thực tiễn bảo mật mạnh mẽ với cơ sở hạ tầng phía máy chủ được tiêu chuẩn hóa, các tổ chức có thể tận dụng năng suất của AI tự vận hành trong khi vẫn bảo vệ được dữ liệu doanh nghiệp quan trọng.