Zenity: AgentForger détourne l'Agent Builder de ChatGPT

Un clic sur un lien ChatGPT en apparence anodin suffisait, jusqu'au 8 juin 2026, pour installer un agent contrôlé par un attaquant à l'intérieur du périmètre de confiance d'un salarié. C'est la démonstration publiée le 24 juillet par Zenity Labs et rapportée par The Hacker News, autour d'une vulnérabilité qu'ils baptisent AgentForger. L'histoire est celle d'un CSRF classique, appliqué à un objet nouveau: un agent autonome.

Le mécanisme tient dans une URL. L'Agent Builder de ChatGPT accepte deux paramètres en query string, dont initial_assistant_prompt, dont la valeur est automatiquement soumise et exécutée au chargement de la page selon Mike Takahashi, AI Red Team Researcher chez Zenity. Le prompt embarqué demande au Builder de créer un agent depuis le template chief-of-staff, d'y rattacher tous les connecteurs disponibles (Outlook, Gmail, Google Calendar, Google Drive, Slack, Teams) avec l'approbation réglée sur « Never ask », de le publier avec une planification horaire, puis de surveiller une boîte mail pour recevoir de nouvelles instructions préfixées par TASK.

Ce dernier détail est ce qui distingue AgentForger d'un phishing ordinaire. Takahashi le résume ainsi: « The attacker does not need the victim to click another link. Once the agent is published and scheduled, the attacker can keep sending it assignments through the victim's mailbox. » L'insider agentique reste en place, exécute ses tâches sous l'identité de la victime et pivote vers de la reconnaissance interne, l'exfiltration de documents dans le cloud, le vol de mots de passe dans Slack ou des campagnes de business email compromise.

La faille a été corrigée par OpenAI le 8 juin 2026 après divulgation responsable, et l'éditeur a par ailleurs annoncé la dépréciation d'Agent Builder au 30 novembre 2026 au profit de son Agents SDK. Ce que le reportage ne précise pas: combien de tenants ont vu passer le payload avant le patch, ni si les organisations concernées ont été notifiées, ni ce que l'Agents SDK exposera comme télémétrie aux équipes sécurité.

À moyen terme, l'intérêt du dossier dépasse le bug. Il rappelle qu'un agent auquel on a délégué des connecteurs d'entreprise devient un actif de sécurité au même titre qu'un compte de service, et que les URL de ces plateformes doivent être traitées comme des surfaces d'attaque à part entière. Les RSSI qui n'ont pas encore inventorié les connecteurs autorisés dans les tenants ChatGPT de leurs équipes ont ici un motif convaincant de le faire cette semaine.