A evolução da inteligência artificial trouxe enormes ganhos de produtividade para empresas, mas também abriu espaço para novas ameaças digitais. Uma vulnerabilidade crítica denominada AgentForger demonstrou que plataformas de IA podem ser exploradas para criar agentes maliciosos de forma praticamente invisível dentro de ambientes corporativos.
Descoberta pela Zenity Labs e corrigida pela OpenAI em junho de 2026, a falha permitia que um simples link de phishing criasse, autorizasse e colocasse em funcionamento um agente do ChatGPT Workspace sem que o usuário percebesse. O incidente reforça a importância da segurança da informação em organizações que utilizam agentes de IA integrados a serviços corporativos como Microsoft Teams, Outlook, Gmail, Google Drive e Slack.
Neste artigo você entenderá como funcionava o AgentForger, quais eram os riscos para empresas e quais medidas podem reduzir esse tipo de ameaça.
O que é o AgentForger?
O AgentForger é uma vulnerabilidade crítica descoberta pela Zenity Labs no ChatGPT Workspace da OpenAI.
A falha explorava um problema de Cross-Site Request Forgery (CSRF), permitindo que um invasor utilizasse um link especialmente criado para induzir o ChatGPT Agent Builder a criar automaticamente um agente controlado pelo atacante.
O mais preocupante é que todo o processo acontecia utilizando as permissões do próprio funcionário autenticado.
Em vez de roubar apenas credenciais, o criminoso conseguia implantar um agente persistente capaz de executar tarefas continuamente dentro da empresa.
Como funcionava o ataque?
O ataque era extremamente simples do ponto de vista da vítima.
Bastava que um funcionário autenticado clicasse em um link aparentemente legítimo do ChatGPT.
A URL continha parâmetros ocultos responsáveis por enviar automaticamente um prompt malicioso ao Agent Builder.
Sem qualquer interação adicional, o sistema executava o comando incorporado na URL e iniciava a criação do agente.
Fluxo simplificado do ataque
| Etapa | Ação |
|---|---|
| 1 | O invasor cria uma URL maliciosa |
| 2 | A vítima autenticada clica no link |
| 3 | O ChatGPT abre o Agent Builder |
| 4 | O prompt é executado automaticamente |
| 5 | Um novo agente é criado |
| 6 | O agente recebe acesso aos conectores corporativos |
| 7 | O agente é publicado e agendado para execução automática |
Por que o AgentForger era tão perigoso?
A grande diferença entre essa vulnerabilidade e ataques tradicionais está na persistência.
Depois de instalado, o agente não dependia mais da interação do usuário.
Ele permanecia ativo executando tarefas automaticamente.
Isso transformava o agente em uma espécie de funcionário virtual controlado pelo criminoso.
Além disso, como utilizava permissões legítimas do usuário comprometido, muitas ações pareciam completamente normais aos sistemas de monitoramento.
Esse cenário representa um enorme desafio para equipes de segurança da informação.
Quais eram os pré-requisitos do ataque?
Embora sofisticado, o ataque exigia algumas condições.
O usuário precisava estar autenticado
O funcionário deveria estar logado no ChatGPT Workspace.
Ter acesso ao Agent Builder
A organização precisava utilizar o recurso de criação de agentes.
Possuir conectores autorizados
O usuário deveria ter integração previamente autorizada com aplicações como:
- Outlook
- Gmail
- Google Drive
- Google Agenda
- Microsoft Teams
- Slack
Esses conectores eram fundamentais porque permitiam ao agente acessar dados corporativos.
O papel dos conectores corporativos
Os conectores representam uma das maiores vantagens dos agentes de IA.
Ao mesmo tempo, tornam-se um dos principais vetores de risco.
Uma vez comprometidos, permitem acesso a diversos sistemas internos.
Comparativo entre conectores e riscos
| Conector | Informações acessíveis | Possível abuso |
|---|---|---|
| Outlook | E-mails | Roubo de mensagens |
| Gmail | Caixa postal | Exfiltração de dados |
| Google Drive | Documentos | Vazamento de arquivos |
| Google Agenda | Compromissos | Espionagem corporativa |
| Teams | Conversas | Phishing interno |
| Slack | Mensagens | Roubo de senhas compartilhadas |
Como o agente malicioso era configurado?
O prompt malicioso automatizava praticamente toda a configuração.
Entre as ações realizadas estavam:
Criar um novo agente
O invasor utilizava um modelo de “Chefe de Gabinete”.
Autorizar todos os conectores
Os conectores existentes eram vinculados automaticamente.
Alterar aprovações
O agente configurava todas as ações para o modo “Nunca perguntar”.
Na prática, nenhuma autorização futura seria exigida.
Agendar execução automática
O agente passava a executar tarefas periodicamente.
Executar imediatamente
O modo Preview era utilizado para iniciar a operação imediatamente.
O modo Preview aumentava os riscos
O Preview foi criado para testes.
Entretanto, na vulnerabilidade AgentForger, ele executava o agente utilizando dados reais.
Isso permitia que o atacante começasse a operar imediatamente após a instalação.
O problema não era apenas visualizar o funcionamento do agente.
Era permitir sua execução completa utilizando os recursos da empresa.
O agente funcionava como um operador persistente
Após publicado, o agente permanecia ativo.
A cada execução programada, ele verificava novos comandos enviados pelo invasor.
Esses comandos podiam chegar por e-mail utilizando um assunto previamente definido.
Sempre que encontrava uma nova instrução, o agente:
- executava a tarefa;
- coletava informações;
- enviava os resultados ao criminoso.
Esse comportamento transformava o agente em um verdadeiro backdoor corporativo.
Quais informações poderiam ser roubadas?
Os riscos eram extremamente elevados.
Entre os dados acessíveis estavam:
Documentos internos
Arquivos armazenados no Google Drive ou OneDrive.
Conversas privadas
Mensagens do Slack e Microsoft Teams.
Senhas
Credenciais compartilhadas entre colaboradores.
Informações estratégicas
Planejamento financeiro, contratos e documentos confidenciais.
Tudo isso utilizando credenciais legítimas.
Ataques de phishing internos
Outro aspecto extremamente perigoso do AgentForger era sua capacidade de espalhar novos ataques.
O agente conseguia enviar mensagens utilizando a identidade da própria vítima.
Isso aumentava significativamente a taxa de sucesso dos golpes.
Imagine receber uma mensagem no Microsoft Teams enviada por um colega de trabalho contendo um link da Microsoft.
A tendência é confiar.
Na realidade, o link poderia direcionar para uma página falsa de autenticação.
Esse tipo de ataque facilita campanhas de Business Email Compromise (BEC).
Comparação entre phishing tradicional e AgentForger
| Característica | Phishing Tradicional | AgentForger |
|---|---|---|
| Roubo de senha | Sim | Sim |
| Persistência | Não | Sim |
| Automatização | Limitada | Muito alta |
| Uso de IA | Não | Sim |
| Acesso aos conectores | Não | Sim |
| Execução contínua | Não | Sim |
| Movimentação lateral | Limitada | Elevada |
Como a OpenAI corrigiu a vulnerabilidade?
Após a divulgação responsável pela Zenity Labs, a OpenAI lançou uma correção em 8 de junho de 2026.
Além disso, anunciou que o Agent Builder será descontinuado em 30 de novembro de 2026, incentivando a migração para o Agents SDK.
Essa mudança reduz parte da superfície de ataque, embora organizações continuem precisando revisar cuidadosamente as permissões concedidas aos agentes de IA.
O crescimento das ameaças contra agentes de IA
O AgentForger mostra que a segurança deixou de proteger apenas usuários humanos.
Agora também é necessário proteger agentes autônomos.
Pesquisas recentes mostram que servidores de IA continuam sendo publicados na internet sem autenticação, expondo frameworks de agentes e modelos de linguagem para ataques remotos.
Além disso, vulnerabilidades em plataformas como LiteLLM e Ollama demonstram que criminosos já estão utilizando infraestrutura de IA comprometida para executar operações ofensivas em larga escala.
Esse cenário reforça a necessidade de ampliar investimentos em segurança da informação voltada especificamente para ambientes com inteligência artificial.
Como proteger sua empresa
Algumas práticas reduzem significativamente o risco desse tipo de ataque.
Revise permissões
Conceda apenas os acessos realmente necessários aos agentes.
Audite conectores
Revise regularmente integrações com serviços externos.
Monitore criação de agentes
Implemente alertas para novos agentes publicados.
Capacite usuários
Treinamentos contra phishing continuam sendo essenciais.
Adote autenticação forte
Utilize MFA em todas as contas corporativas.
Monitore atividades anômalas
Ferramentas de SIEM e soluções de detecção comportamental ajudam a identificar ações suspeitas.
Conclusão
A vulnerabilidade AgentForger evidencia uma nova geração de ameaças voltadas para plataformas de inteligência artificial. Em vez de simplesmente roubar credenciais, criminosos podem explorar agentes autônomos para obter persistência, acessar dados sensíveis e executar ações em nome de usuários legítimos.
Embora a OpenAI tenha corrigido a falha rapidamente, o caso serve como um alerta para todas as organizações que adotam IA em seus processos. O crescimento de agentes inteligentes exige uma abordagem moderna de segurança da informação, com controles específicos para conectores, permissões, monitoramento contínuo e conscientização dos colaboradores.
À medida que agentes autônomos se tornam parte do ambiente corporativo, proteger essas ferramentas será tão importante quanto proteger servidores, estações de trabalho e identidades digitais.
