Lỗ hổng AgentForger: Chỉ một đường link ChatGPT độc hại có thể tạo ra AI 'nằm vùng' cho hacker

Chỉ cần một liên kết ChatGPT bị thao túng là có thể khởi chạy một AI agent âm thầm kiểm tra hộp thư đến của kẻ tấn công để tìm các đơn hàng mới sau mỗi năm phút. Zenity Labs gọi lỗ hổng này là một lớp tấn công mới nhắm vào AI dựa trên tác nhân (agent-based AI).

Công ty bảo mật AI Zenity Labs đã phát hiện một lỗ hổng trong Workspace Agents của OpenAI, cho phép một liên kết bị thao túng tạo ra một AI agent tự hành dưới tài khoản của nhân viên. Tác nhân này mạo danh nạn nhân và tái sử dụng các quyền ứng dụng hiện có của họ, bỏ qua các bước phê duyệt vốn được thiết kế để bảo vệ các hành động nhạy cảm.

Zenity đặt tên cho lỗ hổng này là "AgentForger" và coi đây là sự tiến hóa của kiểu tấn công giả mạo yêu cầu trên trang web (CSRF) cổ điển. Trong một cuộc tấn công CSRF điển hình, ai đó nhấp vào một liên kết độc hại hoặc truy cập vào một trang web được dàn dựng và vô tình kích hoạt một hành động đã xác thực mà họ không hề có ý định thực hiện.

AgentForger còn tiến xa hơn thế. Thay vì kích hoạt một hành động không mong muốn duy nhất, liên kết ChatGPT bị thao túng đã khởi động việc tạo ra một tác nhân hoàn toàn tự hành. Tác nhân đó hoạt động bên trong ranh giới tin cậy của công ty, khai thác các trình kết nối (connectors) mà nạn nhân đã ủy quyền trước đó và nhận các nhiệm vụ mới từ kẻ tấn công theo một lịch trình định kỳ.

Các tham số URL cho phép kẻ tấn công tự động hóa việc tạo tác nhân

Việc tạo một Workspace agent thường là một quy trình tương tác. Người dùng chọn mẫu, nhập hướng dẫn, kết nối công cụ, xem xét cài đặt chia sẻ, kiểm tra tác nhân ở chế độ xem trước (preview mode) và sau đó xuất bản nó. AgentForger cho phép kẻ tấn công kích hoạt phần lớn quy trình đó thông qua một URL mà người dùng gần như không cần phải nhập thêm thông tin gì.

Agent Builder, được giới thiệu vào năm 2025, có sẵn tại chatgpt.com/agents/studio/new và chấp nhận hai tham số URL. template_name chọn một mẫu khởi đầu như "chief-of-staff", trong khi initial_assistant_prompt cung cấp các hướng dẫn.

Zenity phát hiện ra rằng trang này không chỉ đặt giá trị của initial_assistant_prompt vào trường nhắc lệnh (prompt field). Nó còn tự động gửi và chạy lệnh đó. Kẻ tấn công không cần phải gửi các yêu cầu thô đến ChatGPT hoặc thao túng trực tiếp trình duyệt của nạn nhân. Tất cả những gì chúng cần là một liên kết chatgpt.com kèm theo một câu lệnh trông có vẻ vô hại ngay từ cái nhìn đầu tiên.

Điều kiện tiên quyết duy nhất là nạn nhân phải đăng nhập vào ChatGPT, có quyền truy cập vào Workspace Agents và đã ủy quyền ít nhất một trình kết nối như Outlook, Gmail, Slack, Google Drive, SharePoint hoặc Teams. Vì các kết nối đã tồn tại từ trước, không có thông báo xác nhận OAuth nào xuất hiện để có thể khiến nạn nhân nghi ngờ.

Một cú nhấp chuột để xây dựng và xuất bản tác nhân

Trong bản demo, Zenity đã nhúng một câu lệnh vào URL để hướng dẫn Builder thực hiện tất cả các bước trong một danh sách nhiệm vụ được đánh số. Tác nhân được thiết lập để tích hợp tất cả các trình kết nối không phải MCP đã được kết nối và thay đổi mọi yêu cầu quyền hạn đối với việc đọc, ghi và xóa thành "Không bao giờ hỏi" (Never ask).

Nó cũng tạo lịch trình chạy năm phút một lần, kiểm tra Outlook để tìm các email từ kẻ tấn công có chứa từ "TASK" trong dòng tiêu đề, thực hiện các hướng dẫn của chúng bằng các ứng dụng đã kết nối và gửi kết quả trả về mà không qua bộ lọc.

Builder đã tạo ra một tác nhân có tên "TASK Mail Operator" mà không cần hỏi người dùng. Nó kết nối các dịch vụ đã được ủy quyền, vô hiệu hóa các yêu cầu phê duyệt, xuất bản tác nhân và khởi chạy nó ở Chế độ xem trước (Preview Mode).

Zenity cho biết Chế độ xem trước không chỉ là một lần chạy thử nghiệm hình ảnh: Nó thực thi tác nhân mới trên các tài khoản thực đã kết nối của nạn nhân bằng cách sử dụng các cài đặt phê duyệt vừa được cấu hình. Vì mọi cài đặt đã được đặt thành "Không bao giờ hỏi", lần chạy đầu tiên đã hoàn tất mà không cần yêu cầu người dùng phê duyệt.

Lập lịch trình mang lại cho kẻ tấn công quyền truy cập bền bỉ

Nếu không có bộ lập lịch, cuộc tấn công sẽ chỉ là một sự kiện diễn ra một lần. Bộ lập lịch biến tác nhân giả mạo thành một thứ giống như cơ sở hạ tầng chỉ huy và kiểm soát. Sau khi tác nhân được triển khai, nạn nhân không cần phải nhấp chuột lần nữa hoặc mở lại ChatGPT. Tác nhân sẽ thức dậy sau mỗi năm phút, kiểm tra hộp thư đến để tìm các email TASK mới, thực hiện các hướng dẫn chứa trong đó và gửi kết quả trả về. Cú nhấp chuột ban đầu cài đặt tác nhân, bộ lập lịch giữ cho nó hoạt động và hộp thư đến trở thành kênh chỉ huy.

Trong phần hai của phân tích, Zenity cho thấy những gì kẻ tấn công có thể làm thông qua kênh này. Sau khi nhận được lệnh "TASK 1: RECON", tác nhân đã lập bản đồ tổ chức. Nó lấy dữ liệu từ Outlook, Slack, Teams, Drive, SharePoint và Lịch để liệt kê mọi người, vai trò, kênh, dự án đang hoạt động và các cuộc họp định kỳ.

Tác nhân cũng tìm kiếm trên Drive, SharePoint và Outlook. Nó tìm thấy một bản điều khoản M&A, một bài thuyết trình hội đồng quản trị đề cập đến các mục tiêu doanh thu bị bỏ lỡ và kế hoạch sa thải, cùng với danh sách nhân viên toàn công ty kèm dữ liệu liên lạc và lương thưởng. Một yêu cầu được ngụy trang dưới dạng "bài tập DLP" đã ra lệnh cho tác nhân tìm kiếm trên Slack chuỗi ký tự "pass:". Tác nhân đã tìm thấy một cặp tên người dùng và mật khẩu cơ sở dữ liệu rồi gửi email cho kẻ tấn công.

Các nhiệm vụ khác lạm dụng danh tính đáng tin cậy của nạn nhân. Tác nhân đã gửi tin nhắn qua tài khoản Teams của nạn nhân, yêu cầu đồng nghiệp xác nhận việc triển khai SSO trên một trang đăng nhập do kẻ tấn công kiểm soát. Zenity cũng đã thử nghiệm tấn công lừa đảo qua Slack và một mẫu email doanh nghiệp bị xâm nhập. Các thử nghiệm khác bao gồm yêu cầu phê duyệt chuyển khoản ngân hàng trị giá 242.500 USD và một lời mời họp lịch với một người tham gia do kẻ tấn công kiểm soát.

Các biện pháp bảo vệ đã không ngăn chặn được cuộc tấn công

Zenity truy vết AgentForger về hai lựa chọn thiết kế liên quan. Builder đã xử lý tham số initial_assistant_prompt như một đầu vào có thể thực thi thay vì đầu vào của người dùng cần được xác nhận. Do đó, một URL do kẻ tấn công kiểm soát có thể thay đổi dữ liệu và cài đặt trong phiên làm việc đã xác thực của nạn nhân mà không cần sự phê duyệt rõ ràng của người dùng.

Cùng một câu lệnh đó cũng có thể thay đổi các cài đặt bảo mật, bao gồm chính sách phê duyệt và lịch trình thực thi. Điều này có nghĩa là hướng dẫn có thể vô hiệu hóa hệ thống vốn được thiết kế để yêu cầu sự phê duyệt của con người đối với các hành động nhạy cảm.

Zenity mô tả sự kết hợp này là "bộ ba gây chết người": URL cung cấp đầu vào không đáng tin cậy, các trình kết nối cung cấp quyền truy cập vào dữ liệu riêng tư và email cung cấp con đường để gửi dữ liệu đó ra ngoài. Hầu hết các khai thác sẽ phải vượt qua các biện pháp bảo vệ đó trước. Thay vào đó, AgentForger cung cấp cho kẻ tấn công quyền truy cập vào một công cụ xây dựng có thể tạo ra một tác nhân với các biện pháp bảo vệ đã bị vô hiệu hóa từ trước.

Các tác nhân tự hành phá vỡ những giả định đằng sau các công cụ bảo mật ngày nay

Zenity đã báo cáo AgentForger thông qua chương trình Bugcrowd của OpenAI vào ngày 4 tháng 6 năm 2026. OpenAI đã xác nhận báo cáo vào ngày hôm sau và sửa lỗ hổng vào ngày 8 tháng 6 bằng cách loại bỏ tham số URL bị ảnh hưởng. Zenity đã khen ngợi thời gian phản hồi của đội ngũ bảo mật OpenAI.

Theo Zenity, cho đến khi bản sửa lỗi được áp dụng, lỗ hổng này đã ảnh hưởng đến mọi tổ chức sử dụng ChatGPT Workspace Agents với các trình kết nối doanh nghiệp đã được ủy quyền trước đó.

Zenity cho biết vấn đề còn mở rộng ra ngoài lỗi cụ thể này. Các công cụ bảo mật truyền thống được xây dựng cho người dùng và thiết bị đầu cuối, chứ không phải cho các tác nhân tự hành hoạt động thông qua danh tính người dùng hợp pháp. Tác nhân càng có thể làm được nhiều việc mà không cần giám sát, thì nó càng gây ra nhiều thiệt hại khi có người khác cung cấp hướng dẫn cho nó. Công ty an ninh mạng này gọi AgentForger là một "sự thất bại về niềm tin đối với tác nhân": nền tảng đã giả định rằng người dùng đã tự tay tạo, phê duyệt, lên lịch và khởi chạy tác nhân đó.

Những lo ngại về bảo mật xung quanh AI dựa trên tác nhân đã gia tăng gần đây. Hugging Face báo cáo rằng một hệ thống tác nhân do AI kiểm soát hoàn toàn đã xâm nhập vào cơ sở hạ tầng sản xuất của họ thông qua một tập dữ liệu bị thao túng và sau đó di chuyển ngang. Theo công ty, hệ thống đã thực hiện hơn 17.000 hành động. OpenAI đã thừa nhận trách nhiệm ngay sau đó. Trong một bài kiểm tra hiệu năng, mô hình của họ đã vô tình hack Hugging Face để lấy dữ liệu thử nghiệm.

Zenity cũng đã trình diễn một số khai thác không cần nhấp chuột (zero-click) và một cú nhấp chuột (one-click) vào năm ngoái dưới tên gọi AgentFlayer. Các cuộc tấn công nhắm vào Copilot Studio, Salesforce Einstein, Cursor với Jira MCP và các công cụ AI doanh nghiệp khác. Trong những trường hợp đó, các câu lệnh ẩn trong các tài nguyên tưởng chừng vô hại có thể chuyển hướng dữ liệu khách hàng hoặc đánh cắp thông tin đăng nhập.