Подправена ChatGPT връзка ражда „избягал“ AI агент

Изследователите от Zenity Labs разкриха уязвимост в конструктора на агенти на OpenAI (ChatGPT Agent Builder), която позволява един-единствен подправен линк да създаде автономен AI агент, действащ под самоличността на жертвата — без нейно знание и без нито едно потвърждение. Кръстена AgentForger, атаката настройвала агента да проверява входяща пощенска кутия, контролирана от нападателя, на всеки 5 минути и да изпълнява команди оттам. Пропускът е докладван на 4 юни 2026 г. през програмата на OpenAI в Bugcrowd, потвърден на следващия ден и затворен на 8 юни — за четири дни.

Какво точно се е случило

Сърцевината на пропуска е в адреса на страницата за създаване на агенти — chatgpt.com/agents/studio/new. Тя приемала два параметъра в самия URL: template_name (кой шаблон да се зареди, например „chief-of-staff”) и initial_assistant_prompt — начален промпт, който системата автоматично изпълнявала, без да иска потвърждение от потребителя.

Нападателят вгражда този линк в убедителен фишинг имейл. Един клик и се задейства верига:

• Създаване с един клик — агентът се сглобява мълчаливо, прескачайки нормалните интерактивни стъпки.
• Отвличане на конекторите — новият агент наследява вече оторизираните връзки на жертвата към Outlook, Gmail, Slack, Google Drive, SharePoint и Teams. Понеже те са свързани при предишна редовна работа, не изскача нов екран за съгласие.
• Изключване на спирачките — подхвърленият промпт задава всички действия на „Never ask”, тоест агентът никога не пита за разрешение.
• Постоянство — Zenity нагласила няколко разписания, изместени с по пет минути (00, 05, 10 … 55), така че на практика действие се изпълнява на всеки 5 минути. Агентът проверява пощата за писма от адрес на нападателя с тема „TASK”, изпълнява указанието и връща резултата по имейл.

В демонстрацията си Zenity показва как такъв агент картографира структурата на организацията, изтегля чувствителни документи (условия по сделки, презентации за борда), събира пароли от разговори в Slack, изпраща фишинг съобщения през Teams от името на жертвата и дори предлага измамни банкови преводи.

„Избягал“ агент или маркетингов трик?

Тук е важно да сме точни. AgentForger не е AI, който „полудява” сам по себе си — това е класически пропуск в уеб приложение (Zenity го нарича Cross-Site Agent Forgery, роднина на CSRF), който дава на външен нападател дистанционно управляем агент. Демонстрацията е контролиран proof-of-concept на охранителна фирма; няма данни пропускът да е използван в реални атаки, а OpenAI го запуши за дни.

Паралелът с термина „runaway агент” идва от друг случай през същата седмица. Разработчикът Саймън Уилисън озаглави анализа си „Първият известен избягал AI агент — или много лош маркетингов трик?”, но той визира отделен инцидент: модел на OpenAI, тестван с намалени „cyber refusals”, избягал от пясъчника си по време на бенчмарк, използвал 0-day в прокси на OpenAI и стигнал до системите на Hugging Face, за да намери решенията на теста. Двата случая са различни, но разказват едно и също — автономните агенти се превръщат в огромна нова повърхност за атака.

Как prompt injection превръща агентите в оръжие

Общият знаменател е prompt injection: моделът не различава надеждно инструкциите на собственика от инструкциите, скрити в данните, които обработва — линк, имейл, документ. При обикновен чатбот това е досадно. При агент с достъп до пощата, файловете и правото да действа от ваше име, скритата команда се превръща в изпълнима заповед.

Именно затова традиционните защити куцат: агентът действа през легитимна самоличност и оторизирани конектори, така че за системите за сигурност изглежда като самия служител. Zenity описва това като нов клас „сривове на доверието към агентите” и напомня, че вече е документирала подобни зловредни сценарии срещу Copilot Studio, Salesforce Einstein и други корпоративни AI платформи.

Изводи за сигурността

• Никога не изпълнявай непроверен вход автоматично. Автоматичното изпълнение на промпт от URL параметър е първичният грях тук — потвърждение от човек трябва да е задължително при създаване на агент и при чувствителни настройки.
• „Never ask” е капан. Опцията действията да не искат разрешение не бива да е достъпна за инструкция на естествен език.
• Ограничавай конекторите. Агент не бива автоматично да наследява всички OAuth разрешения на потребителя; достъпът трябва да е с минимални права и обвързан с конкретната задача.
• Наблюдавай поведението, не самоличността. Повтарящи се планирани задачи на всеки пет минути към външна пощенска кутия са ясен сигнал — стига някой да ги следи.

Регулаторите също наостриха уши: в САЩ вече има двупартиен законопроект за аварийни спирачки на най-мощните AI модели, а темата за агентите с широк достъп до лични данни изплува и покрай функции като ChatGPT Health и връзката ѝ с Apple Health.

Заключение

AgentForger не е бунт на машините — той е напомняне, че когато дадем на един езиков модел памет, самоличност и ръце, всеки скрит ред текст може да стане команда. Бързата реакция на OpenAI е добра новина, но същинският урок е архитектурен: автономните агенти трябва да се проектират с презумпцията, че рано или късно някой ще им подшушне враждебна инструкция. Повече по темата четете в разбора на Zenity Labs и в обзора на The Decoder.