ChatGPTの脆弱性「AgentForger」1クリックで社内に攻撃者エージェントが常駐

「リンクを1回開いただけ」で社内にAIエージェントが常駐する #

セキュリティ企業 Zenity Labs が、OpenAI の ChatGPT Workspace Agents(Agent Builder)の脆弱性「AgentForger」を公表した。従業員が仕込まれたリンクを1回クリックするだけで、攻撃者が操る自律 AI エージェントを本人になりすまして社内に送り込める。OpenAI は報告から4日後の6月8日に修正済みで、悪用の痕跡は確認されていない。

仕組みは古典的な CSRF に近い。Agent Builder の URL は initial_assistant_prompt 等のパラメータを受け取れるが、その中身は本来プロンプト欄に表示されるだけのはずが、実際はそのまま自動送信・実行されていた。ログイン中のユーザーがリンクを開くだけでエージェントが生成される。

C2サーバー不要という不気味さ #

厄介なのは指令の受け渡しに専用の C2 インフラを使わない点だ。攻撃者は件名「TASK」のメールを送るだけでよく、エージェント側がそれを毎時監視して実行する。EDR が警戒する「怪しい通信先」は存在せず、通信は正規のメールと ChatGPT のインフラ内で完結する。Zenity の共同創業者 Michael Bargury は「1クリックで、従業員のIDとアクセス権を持つ完全自律エージェントが、ガードレールなしで社内に生まれる」と評した。

エージェントは便利な自動化であると同時に、認証済みユーザーの皮をかぶった内部関係者にもなり得る。生成AIの脆弱性診断は、モデルの出力だけでなく「エージェントに何をどこまで権限委譲しているか」という運用設計そのものを対象にする段階に入っている。