O crescimento do uso de agentes de inteligência artificial em ambientes corporativos trouxe ganhos expressivos de produtividade, mas também abriu uma nova superfície de ataque para criminosos. A falha no ChatGPT AgentForger, descoberta pela Zenity Labs, demonstrou como um simples clique em um link de phishing poderia transformar um agente legítimo em uma ferramenta de espionagem corporativa, explorando integrações já autorizadas pelo usuário.
A vulnerabilidade chamou a atenção da comunidade de segurança porque explorava um cenário cada vez mais comum: organizações que conectam seus agentes de IA a serviços como Slack, Microsoft Teams, Gmail e Google Drive para automatizar tarefas do dia a dia. Em vez de atacar diretamente esses serviços, o método aproveitava a confiança depositada no próprio agente de IA.
Neste artigo, você entenderá como funcionava a falha no ChatGPT AgentForger, por que o ataque utilizava um mecanismo semelhante ao Cross-Site Request Forgery (CSRF), quais eram os impactos para empresas que utilizam agentes inteligentes e como a OpenAI mitigou o problema antes da descontinuação do Agent Builder e da transição para o Agents SDK.
Entendendo a vulnerabilidade AgentForger no ChatGPT
A pesquisa publicada pela Zenity Labs revelou uma vulnerabilidade apelidada de AgentForger, capaz de manipular a criação de agentes personalizados dentro do ChatGPT Workspace.
O ataque não dependia da exploração de uma falha tradicional de execução de código nem da quebra de autenticação. Em vez disso, explorava a forma como o Agent Builder aceitava parâmetros enviados pela URL durante a criação de um novo agente.
Na prática, um invasor poderia construir um link especialmente preparado e enviá-lo para uma vítima por meio de phishing, mensagem no Teams, e-mail ou outro canal corporativo. Caso o usuário estivesse autenticado em sua conta do ChatGPT e acessasse o link, o navegador enviaria automaticamente informações para o processo de criação do agente.
O aspecto mais preocupante era que o procedimento acontecia utilizando a sessão legítima da vítima. Dessa forma, todas as permissões previamente concedidas ao ambiente eram herdadas pelo novo agente.
Esse comportamento se aproxima do conceito clássico de CSRF (Cross-Site Request Forgery), em que uma aplicação aceita ações realizadas pelo navegador autenticado sem verificar adequadamente a intenção do usuário.
Embora o ataque exigisse engenharia social para convencer a vítima a clicar no link, ele demonstrava como pequenas falhas de validação podem gerar consequências relevantes quando aplicadas a plataformas de IA generativa com acesso a informações corporativas.
O vetor de ataque por parâmetro de URL
O núcleo da vulnerabilidade estava no parâmetro initial_assistant_prompt.
Segundo a análise técnica da Zenity Labs, esse parâmetro permitia definir automaticamente as instruções iniciais do agente durante sua criação.
Em vez de apresentar o conteúdo para confirmação explícita do usuário, o processo aceitava comandos previamente definidos pelo invasor.
Na prática, o agente poderia nascer já configurado para executar tarefas específicas, obedecendo às instruções maliciosas embutidas na URL.
Isso ampliava significativamente o potencial do ataque, pois eliminava etapas que normalmente despertariam suspeitas da vítima.
O agente poderia ser apresentado como um simples assistente de produtividade, enquanto, internamente, carregava instruções destinadas à coleta de informações corporativas, pesquisa de documentos ou interação com serviços conectados.
O uso de parâmetros automatizados também dificultava a percepção do ataque por usuários menos experientes, especialmente em organizações que incentivam a criação de agentes personalizados para diferentes departamentos.
Como a falha no ChatGPT AgentForger explorava conectores corporativos
O risco aumentava quando o ambiente possuía conectores autorizados.
O ChatGPT Workspace permitia integrar agentes a diversos serviços utilizados diariamente nas empresas, incluindo Slack, Google Drive, Gmail, Microsoft Teams e outras plataformas.
Essas integrações existem justamente para permitir automações úteis, como localizar arquivos, responder mensagens, resumir documentos ou consultar informações internas.
O problema identificado pelos pesquisadores estava relacionado ao comportamento da configuração de autorização.
Em determinadas circunstâncias, o agente podia ser configurado para operar com a opção equivalente a “Nunca perguntar”, reduzindo a necessidade de confirmação do usuário durante determinadas ações.
Embora essa funcionalidade tenha sido criada para melhorar a experiência de uso, ela também ampliava o impacto de um agente criado de forma maliciosa.
Caso a vítima já tivesse autorizado o acesso aos conectores, o agente herdava essas permissões e poderia realizar consultas utilizando exatamente os privilégios daquele usuário.
Isso não significava que a plataforma ignorava completamente os mecanismos de segurança, mas evidenciava como uma cadeia de eventos aparentemente legítimos poderia resultar em um cenário de alto risco quando combinada com engenharia social.
O resultado era um agente aparentemente confiável, porém capaz de acessar informações corporativas sensíveis utilizando credenciais legítimas.
Da execução ao mecanismo de persistência corporativa
Após a criação do agente, o ataque poderia evoluir para um cenário de persistência dentro do ambiente corporativo.
Os pesquisadores demonstraram que era possível utilizar mecanismos automatizados para manter o agente ativo durante fluxos de trabalho rotineiros.
Entre os exemplos apresentados estava o uso de tarefas automatizadas por e-mail, permitindo que o agente realizasse verificações periódicas ou executasse consultas sempre que fosse acionado.
Outro elemento importante era o uso das funcionalidades de pré-visualização, que poderiam facilitar a validação do agente antes mesmo de sua utilização em larga escala.
Em um cenário mais sofisticado, um agente comprometido poderia consultar documentos internos, localizar planilhas estratégicas, resumir conversas recentes ou identificar informações relevantes para futuras campanhas de phishing direcionado.
O risco não estava apenas no acesso inicial aos dados.
Uma vez obtidas informações suficientes sobre a organização, o invasor poderia utilizá-las para construir mensagens extremamente convincentes destinadas a outros colaboradores.
Esse tipo de movimento lateral é especialmente perigoso porque utiliza informações legítimas da empresa para aumentar a credibilidade das campanhas maliciosas.
Em plataformas colaborativas como o Microsoft Teams, por exemplo, mensagens aparentemente enviadas em contexto corporativo tendem a despertar menos desconfiança do que e-mails tradicionais.
Isso transforma um agente comprometido em um potencial facilitador de novas etapas do ataque.
Impactos para empresas que utilizam agentes inteligentes
O caso da falha no ChatGPT AgentForger reforça uma tendência importante da segurança digital moderna.
Os agentes de IA deixaram de ser apenas interfaces conversacionais e passaram a atuar como componentes ativos da infraestrutura corporativa.
Hoje eles consultam bancos de dados, acessam sistemas internos, manipulam documentos, enviam mensagens e automatizam processos críticos.
Quanto maior o número de integrações disponíveis, maior também é a responsabilidade das organizações em adotar uma estratégia robusta de governança de IA.
Entre as principais medidas recomendadas estão:
- Revisar regularmente as permissões concedidas aos agentes.
- Aplicar o princípio do menor privilégio.
- Restringir integrações desnecessárias.
- Monitorar logs de criação e alteração de agentes.
- Treinar colaboradores para identificar campanhas de phishing.
- Utilizar políticas de aprovação para novos agentes corporativos.
- Auditar periodicamente conectores e credenciais utilizadas pelos assistentes de IA.
Essas práticas reduzem significativamente a possibilidade de exploração de vulnerabilidades semelhantes no futuro.
Correções da OpenAI e o futuro dos agentes de IA
Após receber o relatório da Zenity Labs, a OpenAI implementou correções para eliminar o comportamento explorado pela vulnerabilidade antes da descontinuação do Agent Builder.
As mudanças reforçaram os mecanismos de validação durante a criação dos agentes, impedindo que parâmetros utilizados no ataque fossem explorados da mesma maneira.
A correção demonstra a importância dos programas de divulgação responsável de vulnerabilidades, permitindo que pesquisadores de segurança trabalhem em conjunto com fornecedores para proteger milhões de usuários antes que falhas sejam exploradas em larga escala.
Ao mesmo tempo, a migração para o Agents SDK representa uma nova etapa na evolução dos agentes inteligentes.
Essa transição oferece uma arquitetura mais moderna para o desenvolvimento de aplicações baseadas em IA, mas também reforça a necessidade de incorporar princípios de Security by Design, validação contínua de permissões e monitoramento constante das integrações.
O episódio do AgentForger deixa uma lição importante para todo o mercado: à medida que os agentes de IA ganham autonomia e acesso a recursos corporativos, sua segurança passa a ser tão crítica quanto a proteção de servidores, bancos de dados e aplicações tradicionais.
Empresas que investem em inteligência artificial precisam enxergar esses agentes não apenas como ferramentas de produtividade, mas como ativos estratégicos que exigem políticas de segurança, auditoria e governança equivalentes às aplicadas em qualquer outro componente crítico da infraestrutura.
