「リンクを1回開いただけ」で社内にAIエージェントが常駐する #
セキュリティ企業 Zenity Labs が、OpenAI の ChatGPT Workspace Agents(Agent Builder)の脆弱性「AgentForger」を公表した。従業員が仕込まれたリンクを1回クリックするだけで、攻撃者が操る自律 AI エージェントを本人になりすまして社内に送り込める。OpenAI は報告から4日後の6月8日に修正済みで、悪用の痕跡は確認されていない。
仕組みは古典的な CSRF に近い。Agent Builder の URL は initial_assistant_prompt 等のパラメータを受け取れるが、その中身は本来プロンプト欄に表示されるだけのはずが、実際はそのまま自動送信・実行されていた。ログイン中のユーザーがリンクを開くだけでエージェントが生成される。
C2サーバー不要という不気味さ #
厄介なのは指令の受け渡しに専用の C2 インフラを使わない点だ。攻撃者は件名「TASK」のメールを送るだけでよく、エージェント側がそれを毎時監視して実行する。EDR が警戒する「怪しい通信先」は存在せず、通信は正規のメールと ChatGPT のインフラ内で完結する。Zenity の共同創業者 Michael Bargury は「1クリックで、従業員のIDとアクセス権を持つ完全自律エージェントが、ガードレールなしで社内に生まれる」と評した。
既存の Workspace Agents を棚卸しし、不要なコネクタ連携を解除。「TASK」等を含む不審メールを監視する。Agent Builder は11月30日に廃止予定のため、Agents SDK への移行も前倒しで検討したい。
エージェントは便利な自動化であると同時に、認証済みユーザーの皮をかぶった内部関係者にもなり得る。生成AIの脆弱性診断は、モデルの出力だけでなく「エージェントに何をどこまで権限委譲しているか」という運用設計そのものを対象にする段階に入っている。
COMMENTS 0
まだコメントはありません。最初のコメントを投稿しよう。