Falha AgentForger no ChatGPT permitia sequestrar Workspace Agents com um único link de phishing
A Zenity Labs revelou uma vulnerabilidade no ChatGPT Agent Builder, batizada de AgentForger, que permitia a um atacante criar, autorizar e implantar um agente autônomo malicioso dentro do workspace de uma vítima apenas com o clique em um link. A falha explorava o fato de que o parâmetro de URL que define o prompt inicial do agente era executado automaticamente ao carregar a página, sem exigir qualquer confirmação humana. A OpenAI corrigiu o problema em 8 de junho de 2026.
O ChatGPT Agent Builder aceita parâmetros na própria URL para pré-configurar um novo agente, incluindo o template a ser usado e um prompt inicial em linguagem natural. O problema identificado pela Zenity Labs é que esse prompt não ficava apenas escrito na caixa de texto à espera de confirmação: assim que a página terminava de carregar, o valor de initial_assistant_prompt era submetido e executado automaticamente. Isso transforma um simples link em um vetor de execução remota de instruções dentro da conta da vítima, algo estruturalmente parecido com um CSRF clássico, mas aplicado a um agente de IA com permissões amplas.
Para que o ataque funcionasse, a vítima precisava estar autenticada no ChatGPT e ter ao menos um conector de Workspace autorizado, como Outlook, Gmail, Slack ou Teams. Com isso satisfeito, o link malicioso instanciava um agente a partir do template "chief-of-staff", conectava automaticamente todos os conectores disponíveis com a opção "nunca perguntar" e configurava execução recorrente de hora em hora, garantindo persistência mesmo depois que a vítima fechasse a aba.
Uma vez ativo, o agente forjado podia varrer e exfiltrar documentos e credenciais, executar tarefas disparadas por e-mails contendo um comando específico e até se passar pela vítima em conversas no Teams para golpear outros colegas, ampliando o alcance do comprometimento inicial para toda a organização.
O caso ilustra um problema que tende a se repetir em builders de agentes: ao herdar do desenvolvimento web o hábito de aceitar estado via parâmetros de URL, essas plataformas replicam também as fragilidades clássicas de CSRF, mas agora com o agravante de que o "formulário" comprometido tem poder de ação autônoma e contínua sobre e-mail, calendário e arquivos corporativos. Isso reforça a necessidade de tratar a inicialização de agentes como uma superfície de autenticação e autorização tão sensível quanto qualquer endpoint que movimente dinheiro ou dados sensíveis.