Por Canuto  

OpenAI corrigió una vulnerabilidad en los Agentes de ChatGPT Workspace que podía permitir la creación silenciosa de un agente autónomo controlado por correo electrónico tras un solo clic de phishing.
***

  • Zenity Labs bautizó como AgentForger al fallo, una variante personalizada de falsificación de solicitud entre sitios.
  • El ataque requería una víctima conectada a ChatGPT, acceso a agentes de Workspace y al menos un conector autorizado, como Gmail u Outlook.
  • OpenAI aceptó el reporte en un día y corrigió la vulnerabilidad tres días después, antes de su divulgación pública.

Una falla que podía crear un insider de IA

OpenAI corrigió una vulnerabilidad en los Agentes de ChatGPT Workspace que podía permitir a un atacante crear un agente autónomo invisible dentro de una organización. El riesgo surgía después de un intento de phishing exitoso contra un empleado con acceso a determinadas funciones de ChatGPT.

Zenity Labs identificó el problema y lo denominó AgentForger. La firma describió el hallazgo como un ataque personalizado de falsificación de solicitud entre sitios, conocido como CSRF, capaz de usurpar parte del proceso oficial para construir un agente.

El resultado iba más allá de una acción puntual ejecutada sin autorización desde el navegador. Según los investigadores, el clic podía iniciar la creación de un sistema autónomo con instrucciones, herramientas, permisos, programación y acceso a conectores previamente autorizados.

Michael Bargury, cofundador y director de tecnología de Zenity, resumió el riesgo con una comparación contundente. “Esto no es una solicitud forjada, es un insider forjado”, afirmó, al explicar que el atacante podía obtener un agente con la identidad y los accesos del trabajador.

La amenaza refleja un cambio importante en la seguridad corporativa. Los controles tradicionales suelen buscar malware, cuentas comprometidas o solicitudes sospechosas, pero pueden no detectar la creación silenciosa de un agente que opera dentro del perímetro de confianza.

Cómo funcionaba AgentForger

La vulnerabilidad se encontraba en el Constructor de Agentes de ChatGPT. Zenity descubrió que el flujo de construcción aceptaba parámetros demasiado permisivos desde una URL de inicialización.

Dos parámetros tenían un papel central en el ataque. Uno permitía seleccionar la plantilla del agente, mientras que el parámetro initial_assistant_prompt proporcionaba instrucciones al Constructor.

Los investigadores señalaron que el prompt inicial podía convertirse en el primer comando ejecutado por el Constructor. Al combinar ambos parámetros dentro de una URL preparada, el atacante podía generar un agente más poderoso con instrucciones definidas de antemano.

La plantilla del jefe de personal resultaba especialmente relevante. De acuerdo con Zenity, esta opción construía un agente más flexible y con mayores capacidades que otras plantillas disponibles en el sistema.

Entre las instrucciones posibles figuraba la revisión periódica de un conector de correo en busca de mensajes del atacante. Los correos con asuntos que comenzaran con “TAREA” podían convertirse en nuevas órdenes para el agente.

El flujo diseñado por los investigadores indicaba al agente que revisara cada mensaje pendiente, lo procesara en orden y ejecutara exactamente lo solicitado mediante las aplicaciones conectadas. Después, debía enviar los resultados al atacante, incluso en valores sin procesar cuando fuera conveniente.

Requisitos y operación silenciosa

El ataque no funcionaba contra cualquier usuario de ChatGPT. La víctima debía estar conectada al servicio, contar con acceso a los Agentes de Workspace y disponer de al menos un conector autorizado.

Entre los conectores mencionados se encontraban Gmail y Outlook. La autorización previa era importante porque podía evitar que apareciera una nueva pantalla de consentimiento OAuth durante la creación del agente.

Además, el empleado debía ser manipulado para hacer clic en la URL preparada. Esta condición situaba al phishing y a la ingeniería social como elementos esenciales de la cadena de ataque.

Las instrucciones también podían intentar ocultar la presencia del agente. Zenity describió mecanismos para desactivar la función “siempre preguntar”, con el objetivo de evitar solicitudes constantes de aprobación durante el proceso de construcción.

Otro paso buscaba activar el agente después de su creación. Con esa configuración, el atacante podía convertir los correos electrónicos en un canal remoto de mando y control, sin depender de una interacción visible del usuario en cada tarea.

El funcionamiento combinaba tres elementos. El clic inicial instalaba el agente, la programación lo mantenía activo y las aplicaciones conectadas le proporcionaban comandos, acciones, datos sensibles y una vía para devolver resultados.

Qué podría hacer el agente dentro de la empresa

Una vez operativo, el agente podía utilizar los accesos disponibles para realizar reconocimiento dentro de la organización. Eso incluía buscar información sensible en servicios conectados y localizar documentos relevantes para el atacante.

Los investigadores también señalaron riesgos relacionados con la recopilación de credenciales. Si las aplicaciones autorizadas permitían consultar información delicada, el agente podía convertirse en una herramienta para extraer datos que normalmente requerirían una intrusión más directa.

La suplantación de la víctima representaba otra consecuencia potencial. Al actuar mediante las cuentas y herramientas del empleado, el agente podía enviar mensajes o ejecutar tareas con una identidad que la organización ya consideraba confiable.

Ese acceso podía facilitar campañas de phishing interno. Los mensajes enviados desde una cuenta legítima tendrían más posibilidades de parecer auténticos para compañeros, equipos financieros o responsables de tecnología.

AgentForger también podía apoyar la preparación de fraudes de compromiso de correo empresarial, conocidos como BEC. El atacante podría estudiar conversaciones, procesos y relaciones internas antes de intentar una solicitud fraudulenta.

La diferencia frente a un CSRF tradicional reside en la permanencia y autonomía de la acción. En un caso convencional, el navegador ejecuta una operación no deseada; aquí, la operación no deseada era la creación de un sistema capaz de seguir actuando.

Respuesta de OpenAI y lecciones de seguridad

SecurityWeek informó que Zenity reportó sus hallazgos a OpenAI. La empresa de inteligencia artificial aceptó el reporte dentro de un día.

La corrección llegó tres días después de que los investigadores comunicaran el problema. AgentForger fue divulgado el 4 de junio y la vulnerabilidad quedó corregida el 8 de junio.

La rapidez de la respuesta redujo la ventana entre el descubrimiento y el parche. Sin embargo, el caso muestra que los sistemas basados en agentes requieren controles diferentes a los aplicados a aplicaciones tradicionales.

Los agentes autónomos combinan instrucciones generadas por lenguaje natural con acceso a herramientas y datos empresariales. Por esa razón, un fallo en el proceso de configuración puede tener consecuencias más amplias que una vulnerabilidad limitada a una sola función.

Las organizaciones deben prestar atención a los agentes activos, los conectores autorizados y las tareas programadas. También necesitan revisar si existen agentes que no correspondan con procesos aprobados o que operen con instrucciones difíciles de auditar.

El caso refuerza la importancia de exigir confirmaciones claras para cambios sensibles. La creación de un agente, la activación de tareas autónomas y el acceso a correo corporativo deberían generar señales visibles y registros verificables.

La capacitación contra el phishing sigue siendo relevante, pero no basta por sí sola. Las empresas también deben asumir que un solo clic puede iniciar procesos persistentes cuando la inteligencia artificial tiene permisos para interactuar con aplicaciones internas.

Un nuevo modelo de amenaza interna

La investigación presenta una idea central para la seguridad de la IA empresarial: el atacante no siempre necesita robar una cuenta o instalar malware. En ciertos escenarios, puede intentar crear un agente que opere con los permisos de una persona legítima.

Ese modelo altera la forma de definir una amenaza interna. El sistema no tiene que pertenecer a un empleado malicioso, porque puede ser construido por un tercero y utilizar la identidad digital de un trabajador engañado.

La combinación de correo electrónico, conectores y programación aumenta la capacidad de persistencia. Aunque el empleado abandone la página después del clic, el agente podría continuar procesando instrucciones si permanece activo y conserva sus autorizaciones.

También cambia el enfoque de la detección. Las herramientas de seguridad deben observar no solo el contenido de los mensajes, sino la creación de agentes, sus instrucciones iniciales, sus horarios y las aplicaciones que consultan.

La visibilidad resulta especialmente importante cuando el comportamiento parece legítimo. Un agente que usa Gmail, Outlook o documentos corporativos con permisos existentes puede no activar las mismas alertas que una aplicación desconocida.

OpenAI ya corrigió el mecanismo señalado por Zenity, pero la discusión es más amplia. A medida que las empresas incorporen agentes capaces de ejecutar tareas, deberán establecer límites precisos, supervisión continua y mecanismos para revocar accesos de forma inmediata.

AgentForger no demostró que todos los agentes de ChatGPT sean inseguros. Sí evidenció que la automatización con IA puede convertir un error de confianza en una presencia operativa dentro de una organización.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados