OpenAI identificó un fallo grave en ChatGPT que permitía, con un solo clic en un enlace de phishing, crear un asistente interno capaz de operar sin intervención humana. La vulnerabilidad, bautizada AgentForger por los descubridores, transformaba un enlace habitual en una puerta para desplegar un agente autónomo con permisos corporativos.
El hallazgo vino de Zenity Labs, que demostró que el constructor de Workspace Agents aceptaba instrucciones desde la propia URL. Para que el exploit funcionara la víctima debía estar conectada a ChatGPT, tener acceso a agentes del espacio de trabajo y al menos una aplicación autorizada como Gmail, Outlook o Slack.
El ataque era una variante de CSRF: la sesión del usuario era inducida a ejecutar pasos que no había autorizado. Según Mike Takahashi de Zenity, el constructor leía parámetros en la URL que ordenaban elegir plantilla, adjuntar aplicaciones conectadas, reducir solicitudes de aprobación, publicar el agente y dejarlo listo para ejecutarse.
Alcance del ataque AgentForger y el poder de los agentes autónomos maliciosos
En pruebas en doce escenarios el agente recopiló organigrama interno, halló documentos sensibles en correo y almacenamiento, localizó credenciales y remitió los resultados fuera de la empresa. También envió mensajes desde la identidad del empleado para lanzar campañas de phishing internas. «No se trata de una solicitud falsificada, sino de un infiltrado falsificado», dijo Michael Bargury.
Zenity informó la falla a OpenAI vía Bugcrowd el 4 de junio; el reporte fue aceptado el día siguiente (5 de junio) y la corrección llegó el 8 de junio, cuando OpenAI eliminó el parámetro de URL responsable. La rápida intervención neutralizó AgentForger antes de que la investigación se hiciera pública el 23 de julio.
Medidas de mitigación y recomendaciones de seguridad para administradores
OpenAI recomienda pedir confirmación para acciones sensibles, limitar cada conexión a lo imprescindible y dar permisos por función. Los administradores deben controlar quién puede crear agentes, restringir accesos a apps, privilegiar solo lectura cuando baste y auditar actividad desde la consola de administración para detectar movimientos anómalos y requerir aprobaciones adicionales para operaciones que modifiquen o eliminen contenido.
Fuente: Radio Mitre.
