Pesquisadores de cibersegurança revelaram uma vulnerabilidade crítica no ChatGPT Workspace Agents, da OpenAI, que poderia permitir que um único link de phishing criasse, autorizasse e implantasse de forma furtiva um agente autônomo de inteligência artificial dentro da organização de uma vítima.
A falha recebeu o codinome AgentForger, atribuído pela Zenity Labs.
Segundo a empresa, o problema foi corrigido pela OpenAI em 8 de junho de 2026, após divulgação responsável.
“Um único link poderia sequestrar o ChatGPT Agent Builder da OpenAI para colocar em funcionamento um agente de IA controlado pelo atacante, com o acesso de um funcionário real e com as aprovações desativadas”, afirmou a empresa de segurança em IA em um relatório dividido em duas partes.
O ataque ocorre quando um funcionário desavisado clica em um link aparentemente legítimo do ChatGPT, o que faz surgir um novo agente de IA dentro da área de confiança da empresa e obedecendo aos comandos do atacante.
O problema é um caso de falsificação de solicitação entre sites, conhecida como CSRF, que cria um agente autônomo de IA controlado pelo invasor.
O Agent Builder é uma tela visual de arrastar e soltar que permite aos usuários montar fluxos de trabalho com várias etapas para agentes.
No mês passado, a OpenAI anunciou que o produto será descontinuado em 30 de novembro de 2026 e recomendou que os usuários migrem para o Agents SDK.
A Zenity informou que seus testes mostraram que a ferramenta Builder aceitava um estado de inicialização por meio de parâmetros na URL, dois deles relacionados a um modelo de agente e ao prompt enviado ao Builder.
“Descobrimos que, quando a página carrega, o valor de initial_assistant_prompt não é apenas colocado na caixa de prompt.
Ele é enviado e executado automaticamente”, disse o pesquisador de Red Team de IA Mike Takahashi.
“Isso significa que uma instrução incorporada em uma URL pode se tornar o primeiro comando executado pelo Builder.”
Como um prompt pode ser inserido diretamente na URL, o atacante pode enviar esse link ao alvo em forma de phishing, seguindo o padrão: “chatgpt[.]com/agents/studio/new?template_name=[nome do modelo]&initial_assistant_prompt=[prompt malicioso]”.
Se um usuário autenticado clicar no link, o ChatGPT abre o Builder na sessão autenticada da vítima e envia automaticamente o prompt embutido na URL, sem exigir nenhuma outra interação.
O atacante, no entanto, precisa atender aos requisitos abaixo:
- A vítima precisa estar conectada ao ChatGPT
- A vítima precisa ter acesso ao Workspace Agents
- A vítima precisa ter pelo menos um conector autorizado, ou seja, uma integração já existente do ChatGPT com um aplicativo corporativo como Outlook, Gmail, Google Calendar, Google Drive, Slack ou Teams
A integração com o conector é necessária porque a URL criada pelo ChatGPT usa como entrada um modelo de chief-of-staff, que permite ao agente buscar dados necessários nos aplicativos do ambiente de trabalho para preparar um “resumo operacional de alto sinal”.
Na prática, o payload enviado pelo prompt malicioso instrui o Builder a executar a seguinte sequência de ações:
- Criar um agente com base no modelo de chief-of-staff
- Conectar todos os conectores já disponíveis e definir cada um como “Never ask”, para que nenhuma aprovação do usuário seja necessária
- Colocar o agente em funcionamento e agendá-lo para rodar a cada hora, transformando-o em um mecanismo de persistência
- Em cada execução, verificar e-mails de um endereço específico cujo assunto comece com a frase “TASK”, executar essas tarefas e enviar os resultados por e-mail para o endereço do atacante
- Acionar o Preview Mode para executar o agente imediatamente
“O Preview Mode existe para permitir que os usuários testem um agente antes da publicação”, explicou a Zenity.
“Nesse fluxo, porém, o Preview não é apenas uma pré-visualização ou uma execução simulada.
Ele roda o agente recém-criado nas contas conectadas da vítima usando as configurações de aprovação que acabaram de ser definidas.”
“Em outras palavras, o agente forjado se torna um operador persistente.
O clique inicial o instala; o agendamento o mantém ativo; e os aplicativos conectados lhe dão uma fonte de comandos, acesso a ações e dados sensíveis e um caminho para devolver os resultados.”
Com essa capacidade, o agente forjado pode se aprofundar na organização, fazer reconhecimento, coletar documentos sensíveis de serviços de armazenamento em nuvem e roubar senhas mencionadas em mensagens no Slack, transformando-se, na prática, em um infiltrado autônomo e persistente capaz de agir conforme a vontade do atacante.
Além disso, o agente malicioso pode se passar pela vítima para enviar links de phishing no Teams em nome dela, redirecionando os destinatários para uma falsa página de login da Microsoft criada para capturar credenciais.
Esse cenário é preocupante porque pode abrir caminho para uma violação mais ampla e para outros ataques de comprometimento de e-mails corporativos, os chamados BEC.
“O atacante não precisa que a vítima clique em outro link”, explicou Takahashi.
“Não precisa manter a aba do Builder aberta.
Assim que o agente é publicado e agendado, o atacante pode continuar enviando tarefas pela caixa de entrada da vítima.
Cada e-mail com TASK se torna uma nova tarefa para o agente.
O agente não está esperando outro clique.
Está esperando instruções.”
“No fundo, o AgentForger é uma falha de confiança no agente: a plataforma confia que o usuário criou, aprovou, agendou e operou o agente de forma intencional.”
As descobertas surgem quase um mês depois de a empresa de segurança em IA revelar como agentes mal-intencionados estão explorando vulnerabilidades críticas no LiteLLM, endpoints expostos do Ollama e o sequestro de infraestrutura de IA para conduzir ataques contra terceiros e sustentar operações ofensivas próprias.
Essas ações envolvem o abuso de
CVE-2024-6587
,
CVE-2026-40217
e
CVE-2026-35029
.
“Servidores de modelos e frameworks de agentes hospedados internamente continuam sendo implantados de forma incorreta, sem autenticação, em portas previsíveis e prontos para atender qualquer cliente”, afirmou a Zenity.
“Isso transforma a infraestrutura de IA exposta em uma capacidade de computação de backend conveniente e plausivelmente negável para agentes ofensivos de IA.”
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...