AgentForger explorava conectores do ChatGPT para roubar dados corporativos
Uma falha crítica nos Workspace Agents do ChatGPT abriu espaço para um novo tipo de ataque contra empresas: a criação silenciosa de agentes de IA maliciosos, capazes de acessar sistemas internos apenas com um clique em um link de phishing. A vulnerabilidade, batizada de AgentForger, foi corrigida pela OpenAI em 8 de junho de 2026, mas expôs o tamanho do risco quando ferramentas de IA passam a ter permissão direta sobre e-mails, calendários e arquivos corporativos.
Como funcionava o ataque AgentForger
O ponto central do problema estava no Agent Builder, a funcionalidade usada para criar e configurar agentes dentro do ambiente corporativo do ChatGPT (Workspace Agents). Esse construtor aceitava parâmetros enviados pela própria URL, o que, em condições normais, é um recurso legítimo para automatizar configurações.
No entanto, um desses parâmetros era excessivamente permissivo: ele permitia que instruções completas fossem injetadas no processo de criação do agente diretamente pelo link. Assim, bastava que um usuário autenticado clicasse em um endereço especialmente preparado para que o comando fosse processado e executado de forma automática, sem qualquer pedido adicional de confirmação ou revisão.
Em outras palavras: o invasor não precisava convencer a vítima a digitar nada, aprovar nada ou configurar o agente manualmente. O simples ato de abrir a URL já disparava toda a sequência de criação e configuração do agente malicioso em nome daquele usuário.
Pré-requisitos para o ataque: permissões e conectores
Para que o ataque tivesse sucesso, alguns requisitos precisavam ser atendidos:
– o usuário alvo precisava ter acesso aos Workspace Agents;
– essa conta já precisava ter ao menos um conector empresarial previamente autorizado.
Esses conectores são integrações oficiais do ChatGPT com ferramentas que as empresas usam no dia a dia, como:
– Outlook e Gmail (e-mail corporativo),
– Google Drive (armazenamento de arquivos),
– Slack e Microsoft Teams (comunicação interna),
– Google Calendar (agenda e compromissos).
Em ambientes corporativos, esses conectores normalmente são aprovados antecipadamente pela equipe de TI, justamente para facilitar o uso da IA na automação de tarefas. O que o AgentForger fazia era se aproveitar dessa confiança delegada: se o usuário já tinha dado essas permissões, o agente malicioso passava a herdá-las automaticamente.
O papel do prompt malicioso
Ao explorar o parâmetro vulnerável, o atacante embutia, dentro da URL, um prompt altamente específico. Esse conjunto de instruções ordenava à plataforma que:
1. criasse um novo agente de IA dentro do Workspace;
2. conectasse ao agente todos os aplicativos já autorizados pela conta da vítima;
3. desativasse pedidos de aprovação humana para determinadas ações;
4. publicasse o agente e o tornasse operacional imediatamente.
Com isso, o invasor, à distância, conseguia implantar um agente persistente dentro do ambiente da empresa, como se tivesse sido configurado pelo próprio colaborador. Esse agente passava a ter acesso aos dados conectados e podia operar sem supervisão, executando tarefas recorrentes que muitas vezes se confundem com automações legítimas.
Execução contínua e uso de e-mail como canal de comando
Uma vez criado e publicado, o agente podia ser:
– executado logo em seguida;
– agendado para rodar em intervalos regulares;
– mantido em operação contínua, reagindo a novos comandos.
Na demonstração do ataque, o pesquisador configurou o agente para monitorar a caixa de entrada em busca de e-mails enviados pelo próprio invasor. A lógica era simples e eficiente: qualquer mensagem cujo assunto começasse com a palavra “TASK” era interpretada como uma nova ordem de serviço.
Esse mecanismo transformava o e-mail em um verdadeiro canal de comando e controle:
– o atacante enviava um e-mail com “TASK: buscar relatórios financeiros”;
– o agente, dentro do ambiente corporativo, executava a tarefa solicitada (por exemplo, pesquisar documentos no Google Drive ou ler mensagens no Outlook);
– em seguida, compilava os resultados e devolvia as informações para o mesmo endereço controlado pelo invasor.
Na prática, esse fluxo permitia automatizar espionagem, exfiltração de dados e monitoramento contínuo de informações sensíveis com pouquíssima interação humana.
Linha do tempo: descoberta e correção
A descoberta da falha foi comunicada à OpenAI em 4 de junho. Após a notificação, a empresa levou quatro dias para implementar uma correção definitiva, concluída em 8 de junho de 2026.
A medida principal foi a remoção do parâmetro vulnerável no Agent Builder, eliminando a possibilidade de que instruções arbitrárias fossem passadas pela URL sem supervisão.
Até o momento da divulgação, não havia evidências de que o AgentForger tivesse sido usado em ataques reais fora do ambiente de teste. Ainda assim, a gravidade potencial levou especialistas a tratar o caso como um alerta importante sobre o modelo de permissões em soluções de IA corporativa.
O que estava realmente em risco para as empresas
Embora não haja indícios de exploração em larga escala, o impacto potencial do AgentForger é significativo:
– Acesso sigiloso a e-mails de executivos e equipes críticas.
– Leitura e cópia de documentos confidenciais em Google Drive ou outros repositórios.
– Coleta de agendas de reuniões estratégicas a partir do Google Calendar.
– Monitoramento de canais internos de comunicação em Slack e Teams.
Como o agente era criado em nome de um usuário real, com conectores já autorizados, qualquer atividade poderia parecer, à primeira vista, compatível com o uso normal da plataforma. Isso torna a detecção mais difícil e exige um olhar atento sobre padrões de automação e agendamentos.
Lições de segurança para o uso de IA corporativa
O caso AgentForger ilustra um ponto-chave: à medida que empresas transferem mais tarefas para agentes de IA, esses agentes passam a ter um perfil de risco semelhante ao de contas privilegiadas. Eles não são apenas “ferramentas inteligentes”, mas entidades com poder real de acessar, modificar e enviar informações.
Algumas lições que emergem desse episódio:
– Permissões mínimas: conectores devem ser configurados com o menor conjunto de permissões possível, evitando acesso amplo e irrestrito a caixas de e-mail e repositórios inteiros.
– Separação de funções: agentes que automatizam tarefas rotineiras não deveriam ter o mesmo nível de acesso que um administrador de TI ou um executivo.
– Auditoria contínua: logs de atividade de agentes precisam ser revisados com regularidade, sobretudo em ambientes críticos como finanças, jurídico e P&D.
Medidas recomendadas para empresas
Diante da vulnerabilidade descoberta, organizações que utilizam Workspace Agents devem adotar uma revisão cuidadosa de suas configurações. Entre as recomendações práticas:
– verificar todos os agentes já publicados e confirmar se cada um ainda é necessário;
– revisar quais conectores cada agente utiliza e se essas integrações são realmente indispensáveis;
– mapear tarefas agendadas e checar se o comportamento está de acordo com o esperado;
– reavaliar configurações que permitam a execução de ações sem aprovação humana, principalmente em atividades que envolvem leitura, envio ou compartilhamento de dados;
– reforçar políticas internas sobre o clique em links, mesmo quando o usuário já estiver autenticado em sistemas corporativos.
Em alguns casos, pode ser prudente remover agentes antigos, reconfigurar permissões do zero e introduzir processos formais de aprovação antes da criação de novos agentes.
A importância de validar fluxos automatizados
Um dos riscos mais subestimados em ambientes com IA é o “crescimento silencioso” de automações. Com o tempo, equipes vão criando agentes para resolver problemas específicos e, quando se percebe, há dezenas de automações ativas, muitas vezes sem um responsável claramente definido.
O incidente do AgentForger reforça a necessidade de:
– manter um inventário atualizado de agentes, com dono, finalidade e prazo de validade;
– documentar exatamente quais dados cada agente pode acessar;
– adotar revisões periódicas de segurança em fluxos automatizados, especialmente os que interagem com fontes de dados sensíveis.
Sem esse controle, um agente criado com boas intenções hoje pode se transformar em um vetor de risco amanhã, caso uma vulnerabilidade semelhante surja ou credenciais sejam comprometidas.
Phishing continua sendo porta de entrada, mesmo em ambientes de IA
Outro ponto fundamental é que o ataque dependia de um único clique em um link de phishing por parte de um usuário autenticado. Isso mostra que, mesmo com tecnologias sofisticadas, o vetor clássico de engenharia social continua central.
Treinamentos de conscientização precisam evoluir para incluir:
– explicações sobre riscos específicos relacionados a plataformas de IA;
– exemplos de links que, ao serem abertos, podem acionar ações automatizadas sem confirmação;
– orientações claras sobre como verificar a legitimidade de convites, links e fluxos “pré-configurados” de agentes ou integrações.
A combinação de usuários desatentos com agentes cada vez mais poderosos é um terreno fértil para ataques criativos como o AgentForger.
Governança de IA: não é só questão técnica
Por fim, o episódio destaca que a segurança em torno de IA corporativa não é apenas uma questão de corrigir bugs. Envolve governança, políticas e responsabilidades bem definidas. Empresas que querem aproveitar o potencial dos agentes precisam responder a algumas perguntas estruturantes:
– Quem pode criar, publicar e editar agentes?
– Que tipo de revisão é necessária antes que um agente ganhe acesso a dados estratégicos?
– Como são tratados agentes que foram criados por colaboradores que já saíram da empresa?
– Quais equipes (segurança, compliance, jurídico) devem participar da definição de limites para o uso de IA?
Responder a essas questões ajuda a construir um ambiente em que a inovação com IA anda lado a lado com proteção adequada de dados e minimização de riscos.
A correção do AgentForger elimina um vetor específico de ataque, mas o aprendizado principal permanece: à medida que agentes de IA ganham poder dentro das empresas, eles passam a ser alvos naturais de exploração e precisam ser tratados com o mesmo rigor de qualquer outro sistema crítico.