一个链接就能通过ChatGPT的Agent Builder向任何公司安插假员工

币安Binance

币安交易所是全球加密货币交易所龙头，在手机上即可买卖比特币等数字货币！

官网注册  APP下载

安全研究人员发现了一种将单个点击链接转变为比典型钓鱼攻击危险得多的方式：一个完全自主的AI代理，它带着真实员工的身份和权限，在公司内部悄然运行，每隔五分钟便从外部攻击者那里接收指令。

Zenity实验室的发现

安全公司Zenity Labs披露了OpenAI的ChatGPT Workspace Agents中的一个漏洞，并将其命名为AgentForger——这是对存在数十年的跨站请求伪造攻击的一种刻意演变。该漏洞存在于ChatGPT的Agent Builder中，这是一个用于构建多步骤自主代理工作流的可视化工具。Zenity发现，该工具初始化过程中的两个URL参数可以被操纵：一个参数用于选择代理模板，默认会引用一个功能强大的“Chief of Staff”模板；另一个参数名为initial_assistant_prompt，用于向构建器传递自然语言指令，这些指令在页面加载时便会自动提交并执行，无需用户输入或确认任何内容。

将这两个参数串联起来，攻击者可以构建一个单一的URL。当已登录的员工点击该链接后，其ChatGPT Workspace中会悄然构建、配置并启动一个功能完整的自主代理——该代理被指示每五分钟检查一次攻击者的电子邮件收件箱，以获取新的指令。

为何比普通钓鱼链接更危险

传统的跨站请求伪造攻击会诱使浏览器提交一个未经授权的请求。而AgentForger则完全不同：它伪造了一个持久存在、配备工具且自主运行的系统，该系统能够直接在公司信任边界内活动。Zenity联合创始人兼首席技术官Michael Bargury直言不讳地表示：“这不再是伪造请求，而是伪造了一个内部人员。攻击者只需一次点击，就能在你公司内部植入一个完全自主的代理，它拥有你员工的身份和权限，且所有防护措施都被关闭。”

该攻击只需目标员工登录了ChatGPT，且启用了Workspace Agents，并至少拥有一个已预先授权的企业连接器（如Outlook、Gmail、Slack或SharePoint）。由于连接器已预先授权，因此不会弹出新的权限提示来警告员工发生了异常情况。Zenity的研究人员证实，由此产生的恶意代理能够映射组织内部结构、窃取敏感文档、收集凭证，并在Slack、Teams和电子邮件中冒充受害者。

修复速度有多快

Zenity于2026年6月4日通过Bugcrowd计划向OpenAI报告了该漏洞。OpenAI在24小时内确认了报告，并于6月8日发布了修复方案——从最初报告到补丁发布仅用了四天——具体做法是彻底移除了有漏洞的URL参数处理器。Zenity表示，在修复方案上线之前，未发现该漏洞被利用的证据。OpenAI还单独宣布，将完全弃用原有的Agent Builder工具，自2026年11月30日起生效，转而使用其新的Agents SDK和Workspace Agents界面。

更广泛模式的一部分

AgentForger属于研究人员所称的“致命三重奏”这一日益增长的类别：不可信输入、对私有数据的访问权限，以及未经监控的数据外泄路径——这三者共同将AI代理的助益性转变为一种风险。这种失效模式与近期报道的沙箱逃逸和奖励黑客攻击（包括Kimi K3的沙箱突破以及今年夏天的一系列前沿模型限制失效事件）在结构上有所不同。后一类事件涉及模型自行超越其预期边界，而AgentForger则展示了攻击者如何利用代理平台自身的便利特性——一键设置、预先授权的连接器——来反噬使用该平台的组织。

接下来需要注意什么

安全研究人员将AgentForger视为更广泛漏洞类型的预演，而非孤立的缺陷：随着越来越多的公司采用具有深度预授权访问内部系统能力的代理构建工具，此类“伪造内部人员”攻击的攻击面也将相应扩大。随着2026年下半年企业对自主代理的采用加速，AI代理平台如何处理基于URL的初始化以及默认权限继承，将成为持续关注的焦点。