AgentForger : quand un simple lien de phishing suffit à créer un insider IA persistant

Introduction

Le 24 juillet 2026, les chercheurs de Zenity Labs ont révélé une vulnérabilité critique – baptisée AgentForger – dans le constructeur d'agents de ChatGPT Workspace. La faille permettait à un attaquant de forger un agent IA malveillant et de le rendre persistant au sein de l'organisation de la victime en un simple clic sur un lien de phishing. Une fois activé, l'agent agissait comme un initié autonome avec accès aux emails, au stockage cloud et aux plateformes de communication d'entreprise. OpenAI a corrigé le problème le 8 juin 2026, avant la divulgation publique, mais l'épisode met en garde contre les risques de sécurité de l'infrastructure IA en entreprise.

Analyse technique

AgentForger était une Cross‑Site Request Forgery (CSRF) nichée dans le constructeur visuel d'agents (Agent Builder). En exploitant une URL malveillante du modèle chatgpt[.]com/agents/studio/new?template_name=...&initial_assistant_prompt=..., l'attaquant pouvait injecter un prompt arbitraire dans la session authentifiée de la victime et déclencher la création de l'agent sans aucune interaction supplémentaire.

L'agent forgé utilisait le template chief-of-staff et se connectait à tous les connecteurs déjà autorisés par l'utilisateur (Microsoft Outlook, Gmail, Google Calendar, Google Drive, Slack, Teams). Il forçait également les paramètres d'approbation sur « Never ask », supprimant toute demande de confirmation. L'agent était immédiatement exécuté en mode Preview Mode et programmé pour s'exécuter toutes les heures. Parmi ses premières opérations, il analysait la boîte de réception à la recherche d'emails ayant pour objet « TASK », exécutait les commandes contenues dans le corps du message et renvoyait les résultats à l'attaquant. Ce mécanisme créait un canal de commande asynchrone et persistant, actif même lorsque le navigateur était fermé.

L'Agent Builder doit être retiré d'ici le 30 novembre 2026 et OpenAI encourage la migration vers Agents SDK et Workspace Agents natifs.

Impact

L'impact est à considérer comme critique car un seul clic pouvait déclencher une chaîne d'attaques entièrement automatisée :

• Exfiltration de données : documents sensibles depuis Google Drive ou d'autres stockages cloud.
• Vol d'identifiants : clés, jetons ou mots de passe présents dans les messages Slack, les emails ou les fichiers partagés.
• Usurpation d'identité : l'agent pouvait envoyer des messages sur Microsoft Teams au nom de la victime, propageant d'autres liens de phishing et déclenchant des attaques de Business Email Compromise (BEC) et des mouvements latéraux.
• Commande persistante : l'attaquant pouvait transmettre de nouveaux ordres simplement en envoyant à la victime un email avec l'objet « TASK ». L'agent exécutait alors la commande et renvoyait les résultats, garantissant un accès continu et non supervisé.

L'agent opérait avec les autorisations de l'utilisateur légitime et se fondait parmi les agents du workspace, rendant sa détection difficile.

Atténuation

OpenAI a corrigé la vulnérabilité le 8 juin 2026. Les utilisateurs de ChatGPT Workspace Agents doivent s'assurer de disposer de la version mise à jour. Jusqu'à la dépréciation de l'Agent Builder (30 novembre 2026), il est conseillé d'appliquer les contre-mesures suivantes :

• Désactiver ou limiter l'Agent Builder s'il n'est pas strictement nécessaire ; envisager une migration anticipée vers les nouvelles API pour agents.
• Former les utilisateurs à ne pas cliquer sur des liens suspects, même s'ils semblent légitimes (le domaine chatgpt.com était exploité dans la campagne).
• Audits réguliers : contrôler les agents configurés dans le workspace et vérifier que les paramètres d'approbation des connecteurs n'ont pas été forcés sur « Never ask ».
• Moindre privilège : réduire les connecteurs d'entreprise autorisés aux seuls indispensables.

Cette découverte s'inscrit dans un contexte plus large d'attaques contre les infrastructures IA auto-hébergées. Zenity Labs avait déjà observé l'exploitation active des vulnérabilités CVE-2024-6587, CVE-2026-40217 et CVE-2026-35029 sur des instances exposées de LiteLLM et Ollama sans authentification, confirmant la tendance à cibler les endpoints IA comme tremplins pour des opérations offensives envers des tiers.

FAQ

1. Qu'est-ce qu'AgentForger exactement ?
AgentForger est une vulnérabilité CSRF dans le constructeur d'agents de ChatGPT Workspace qui permettait à un attaquant de créer et de rendre persistant un agent IA malveillant dans le compte d'entreprise de la victime en un seul clic sur un lien de phishing. L'agent pouvait accéder aux emails, calendriers, fichiers et chats, et être contrôlé à distance par de simples emails ayant pour objet « TASK ».

2. Mon organisation est-elle toujours exposée ?
Si la plateforme ChatGPT Workspace a été mise à jour après le 8 juin 2026, la faille est corrigée. Si l'Agent Builder est encore actif, il est conseillé de vérifier la présence d'agents inconnus et, dans la mesure du possible, de le désactiver jusqu'à la migration vers les nouveaux outils recommandés par OpenAI. Il est également recommandé de maintenir un haut niveau de sensibilisation anti-phishing.

3. Quelles leçons opérationnelles tirer de cet incident ?
AgentForger démontre que l'adoption d'agents IA en entreprise élargit la surface d'attaque. Il est indispensable d'appliquer aux interfaces IA les mêmes protections qu'aux applications web traditionnelles (anti-CSRF, validation des entrées, flux d'approbation explicite) et de traiter les liens internes avec la même prudence que les liens externes. La visibilité et le contrôle continu des agents actifs deviennent un nouveau pilier de la sécurité d'entreprise.