La vulnerabilidad AgentForger, descubierta por Zenity Labs, permitía a un atacante crear y controlar de forma remota un agente autónomo dentro de los sistemas de ChatGPT Workspace de una organización víctima, con acceso total a sus datos y herramientas conectadas. OpenAI la corrigió en tres días tras la notificación (Fuente Securityweek).
Un solo clic en un enlace de phishing era suficiente. Eso es todo lo que necesitaba un atacante para plantar un agente de IA invisible dentro de la red corporativa de una organización que usara ChatGPT Workspace Agents. La vulnerabilidad, bautizada AgentForger por los investigadores de Zenity Labs que la descubrieron, fue reportada a OpenAI el 4 de junio y corregida el 8 de junio, en apenas tres días.
El mecanismo del ataque es técnicamente elegante y perturbador en igual medida. La falla residía en el Agent Builder de ChatGPT, que permitía manipular una URL de inicialización con dos parámetros específicos. Uno seleccionaba la plantilla del agente —en este caso la más poderosa, Chief of Staff—, y el otro inyectaba instrucciones que el Builder ejecutaba automáticamente al abrirla. Con esos dos parámetros, el atacante podía generar un agente autónomo con instrucciones preconfiguradas, incluyendo la orden de monitorear el correo electrónico de la víctima y ejecutar cualquier tarea que llegara en mensajes del atacante con el asunto «TASK».
Las condiciones para que el ataque funcione son realistas en entornos corporativos: la víctima debe estar conectada a ChatGPT, tener acceso a Workspace Agents y tener al menos un conector autorizado como Gmail u Outlook. Con ese conector preexistente, no se dispara ninguna pantalla de consentimiento OAuth nueva, y la creación del agente es completamente invisible para la organización.
Una vez operativo, el agente invisible puede hacer reconocimiento interno, encontrar datos sensibles, cosechar credenciales, suplantar a la víctima frente a otros empleados, distribuir phishing interno y preparar ataques de Business Email Compromise, todo de forma autónoma y sin dejar rastros visibles para los controles de seguridad tradicionales.
Michael Bargury, cofundador y CTO de Zenity, lo resumió con precisión: «No es una solicitud falsificada, es un infiltrado falsificado. Los atacantes ya no tienen que entrar por la fuerza para robar datos. Pueden forjar un insider que vaya a buscarlos por ellos.» OpenAI aceptó los hallazgos al día siguiente de la notificación y publicó la corrección tres días después.
Nota elaborada con asistencia de IA. Fuentes verificadas y contenido editado por el equipo de Infosertec. Conocé nuestro proceso editorial.