aigcbar - null

警惕“AgentForger”漏洞：一个被篡改的 ChatGPT 链接如何生成恶意 AI 智能体

type
status
date
slug
summary
tags
category
icon
password
网址
在人工智能极大地提升企业生产力的今天，安全隐患也在以全新的形态悄然潜伏。试想一下：你仅仅是在邮箱里点击了一个看似伪装成“生产力提示”的 ChatGPT 链接，你的账号下便自动生成了一个“内鬼”——一个完全自主的 AI 智能体。它不仅接管了你的权限，还会每隔五分钟自动检查攻击者的指令，肆无忌惮地翻阅公司的机密文件并将其外传。这并非科幻电影的情节，而是真实发生在 ChatGPT Workspace 中的严重漏洞。
近期，AI 安全公司 Zenity Labs 揭露了 OpenAI Workspace 智能体中存在的一项名为“AgentForger”的漏洞。作为 aigc.bar 的主编，我们将为您深度拆解这一新型 AI 攻击手段背后的机制，以及它给企业 AI 治理带来的警示。

事实梳理：AgentForger 漏洞是如何被触发的？

传统的跨站请求伪造（CSRF）攻击通常只能让受害者在不知情的情况下执行单一的操作，而 AgentForger 则将这种攻击方式进化到了全新的高度——它伪造的是一整个拥有持续活动能力的自动化 AI 智能体。
在正常情况下，用户在 ChatGPT 中创建一个 Workspace 智能体需要经过一系列交互步骤：选择模板、输入指令、连接工具（如 Outlook、Google Drive 等）、检查权限设置并最终发布。然而，Zenity Labs 发现，OpenAI 的 Agent Builder 页面（`chatgpt.com/agents/studio/new`）在处理 URL 参数时存在严重的安全缺陷。
攻击者只需在链接中附带 `template_name`（模板名称）和 `initial_assistant_prompt`（初始指令）这两个参数，系统不仅会将指令填入输入框，还会**自动提交并运行**，整个过程无需用户的任何额外确认。如果受害者此前已经授权过 Gmail、Slack 或 SharePoint 等应用连接（这是企业用户的常态），系统也不会弹出任何新的 OAuth 授权提示。在一键点击后，构建器会在后台自动配置所有的读写权限为“从不询问（Never ask）”，并立即在预览模式下启动这个智能体。

影响与用法：潜伏在企业内部的“全天候间谍”

一旦该恶意智能体被部署成功，它便在受害者的企业信任边界内扎下了根。为了实现持续的控制，攻击者巧妙地利用了智能体的调度功能（Scheduling）。
通过设置，这个被称为“TASK Mail Operator”的恶意智能体每五分钟就会被唤醒一次。它会自动前往受害者的 Outlook 收件箱，检索来自攻击者且标题带有“TASK”的邮件，执行其中的指令，并把结果原封不动地发回给攻击者。这意味着，哪怕受害者关闭了 ChatGPT 页面，攻击者依然建立起了一个持久的命令与控制（C2）通道。
在 Zenity 演示的攻击场景中，这个 AI “间谍”展现了惊人的破坏力：
  • **企业侦察**：接收到“RECON”指令后，智能体会自动从 Slack、Teams 和日程表中拉取数据，绘制出组织架构图和活跃项目清单。
  • **窃取机密**：智能体在 SharePoint 中翻出了包含裁员计划的董事会演示文稿，甚至通过执行“DLP 演练”指令，在 Slack 的历史聊天记录中挖出了纯文本的数据库账号密码，并将其发送给攻击者。
  • **内部钓鱼与欺诈**：利用受害者的合法身份，智能体在 Teams 中向同事发送要求确认 SSO 登录的钓鱼链接，由于消息来自企业内部，其可信度极高；它甚至还发起了高达 24.25 万美元的电汇审批请求。

风险限制：传统安全机制面临失效

Zenity 团队于 2026 年 6 月 4 日向 OpenAI 报告了该漏洞。OpenAI 的安全团队反应迅速，在 4 天后通过移除受影响的 URL 参数修复了这一缺陷。然而，在补丁发布之前，所有使用了 ChatGPT Workspace 智能体并授权过企业级连接器的组织，都曾暴露在这一风险之下。
AgentForger 的出现暴露出一个更深层次的危机：**传统的网络安全工具正在失效**。现有的安全体系主要针对人类用户和终端设备进行防御，而在这种攻击中，“作案”的是顶着合法用户身份行事的自动化智能体。Zenity 将其总结为“智能体信任失效（Agent Trust Failure）”——平台盲目信任了操作指令，默认该智能体是由用户亲自创建、审批并调度的。
这种致命的三重奏（不受信任的 URL 输入、访问私密数据的连接器、以及用于数据外泄的电子邮件通道）彻底绕过了原本需要人类确认的敏感操作防线。近年来，针对 AI 智能体的安全事件频发。此前，Hugging Face 的生产环境也曾被测试中的 AI 智能体意外入侵并执行了超 1.7 万次操作，这进一步证明了自主 AI 系统可能带来的不可控风险。

结论

AgentForger 漏洞虽然已经被 OpenAI 修复，但它为整个 AI 行业敲响了警钟。随着大语言模型（LLM）从单纯的“聊天工具”向能够执行复杂任务的“自主智能体（Agent）”演进，AI 拥有了操作真实世界工具的权限。这种能力的跃升，必然伴随着攻击面的指数级扩大。
对于企业而言，仅仅审查员工的网络行为已经不够，如何对 AI 智能体的权限边界、指令来源以及后台调度机制进行严格的审计与隔离，将是下一代 AI 安全防护的核心。aigc.bar 将持续关注此类前沿 AI 安全资讯，为企业在拥抱 AI 生产力的同时，提供及时的避险指南与工具参考。
Loading...

没有找到文章