AgentForger explorava conectores corporativos do ChatGPT para espionar dados internos
Uma falha grave no recurso Workspace Agents do ChatGPT abriu caminho para um novo tipo de ataque corporativo: a criação silenciosa de um agente de IA malicioso, capaz de se conectar a e-mails, arquivos e ferramentas de colaboração internas a partir de um único clique em um link de phishing. O problema, batizado de AgentForger, foi corrigido pela OpenAI em 8 de junho de 2026, mas expõe um cenário preocupante: sistemas de IA corporativa já estão sendo alvo direto de ofensivas sofisticadas.
O ataque explorava um detalhe técnico do Agent Builder, a ferramenta usada para criar e configurar agentes dentro do ambiente de trabalho do ChatGPT. Um parâmetro excessivamente permissivo na URL permitia que instruções completas fossem passadas diretamente por meio do link. Assim que um usuário autenticado abria o endereço preparado pelo atacante, o comando embutido era processado automaticamente, sem qualquer tela de confirmação, alerta de segurança ou pedido adicional de consentimento.
Para que a investida funcionasse, era necessário que a vítima fizesse parte de um workspace com acesso habilitado aos Workspace Agents e já tivesse ao menos um conector corporativo aprovado. Entre os serviços compatíveis estão Outlook, Gmail, Google Drive, Slack, Microsoft Teams e Google Calendar. Em muitas empresas, esses conectores são autorizados de forma ampla justamente para facilitar a produtividade – o que, nesse caso, se converteu em vetor de risco.
O prompt malicioso utilizado na prova de conceito era projetado para instruir a plataforma a criar automaticamente um novo agente, conectar todos os aplicativos corporativos disponíveis para aquele usuário e desativar qualquer exigência de aprovação humana para ações futuras. Em outras palavras, o atacante conseguia, em um único passo, implantar um “funcionário virtual” infiltrado, com acesso direto às comunicações e documentos ligados aos conectores.
Depois de criado, o agente podia ser imediatamente publicado e iniciado, além de configurado para rodar de forma recorrente – por exemplo, em intervalos de tempo definidos ou mediante determinados gatilhos. Na demonstração apresentada pelos pesquisadores, o agente era programado para monitorar a caixa de entrada da vítima em busca de e-mails enviados pelo próprio invasor, com assuntos que começassem com a palavra “TASK”. Cada uma dessas mensagens funcionava como um comando remoto: o agente lia o conteúdo, executava as tarefas específicas solicitadas e, em seguida, enviava os resultados de volta para o endereço de e-mail controlado pelo atacante.
Esse modelo tornava o ataque particularmente discreto. Em vez de depender de conexões externas visíveis ou de malware instalado em máquinas locais, o atacante passava a conversar com o agente diretamente por canais legítimos – como o próprio e-mail corporativo -, aproveitando-se da confiança já estabelecida entre a organização e a plataforma de IA. O agente malicioso atuava, na prática, como um intermediário invisível entre o invasor e os dados corporativos.
A vulnerabilidade foi reportada à OpenAI em 4 de junho de 2026. Quatro dias depois, a empresa removeu o parâmetro vulnerável do Agent Builder, interrompendo a possibilidade de injetar prompts pela URL sem validação. Até o momento, não há sinais públicos de que a falha tenha sido explorada em ataques reais, mas o tempo de exposição e o potencial de impacto acenderam um alerta importante entre equipes de segurança e responsáveis por governança de IA.
Especialistas recomendam que empresas que já utilizam Workspace Agents façam uma varredura cuidadosa em seus ambientes. É essencial revisar todos os agentes publicados, verificar quais conectores corporativos estão associados a cada um deles, analisar tarefas agendadas e, principalmente, identificar configurações que permitem que ações sejam executadas sem aprovação humana. Agentes que não tenham um responsável claramente identificado ou cuja função não esteja bem documentada merecem atenção redobrada.
Um ponto crítico dessa ocorrência é a dependência, muitas vezes acrítica, da automação propiciada por IA. Em nome da agilidade, times de negócio tendem a aprovar conectores amplos, a delegar tarefas sensíveis a agentes automatizados e a reduzir fricção em fluxos de aprovação. O caso AgentForger mostra que esse caminho, sem contrapesos de segurança, pode criar um terreno fértil para abusos – especialmente quando uma simples URL pode alterar o comportamento de sistemas complexos.
Outro aspecto relevante é a própria natureza do “phishing de IA”. Em vez de tentar roubar senhas ou instalar malware diretamente no dispositivo da vítima, o atacante mira o nível de orquestração: ele tenta controlar a plataforma que intermedia o acesso aos dados. Nessa lógica, convencer um funcionário a clicar em um link aparentemente legítimo passa a ser o gatilho não apenas para abrir uma página, mas para reconfigurar silenciosamente toda uma infraestrutura de automação.
Esse tipo de ameaça também destaca a necessidade de ampliar a mentalidade de segurança para além de servidores, endpoints e redes tradicionais. Plataformas de IA corporativa, agentes automatizados e integrações com SaaS críticos devem ser tratados como ativos de alto risco, sujeitos a processos de gestão de identidade e acesso, revisão de privilégios, auditoria contínua e monitoramento de comportamento anômalo.
Como resposta estratégica, organizações podem adotar algumas boas práticas:
– Definir políticas claras sobre quem pode criar e publicar agentes de IA dentro do workspace.
– Restringir conectores sensíveis apenas a agentes estritamente necessários, com escopo mínimo de permissões.
– Habilitar logs detalhados de atividades de agentes e revisar periodicamente ações automatizadas.
– Implementar revisões formais de prompts e fluxos de automação para agentes que interajam com dados confidenciais.
– Incluir cenários de abuso de agentes de IA em exercícios de resposta a incidentes e treinamentos de conscientização.
O episódio também pressiona fornecedores de plataformas de IA a incorporar, desde o design, camadas adicionais de defesa: confirmação explícita para ações de alto impacto, validação rigorosa de parâmetros recebidos via URL, limites ao que pode ser automatizado sem envolvimento humano e mecanismos nativos para detecção de comportamentos suspeitos por parte de agentes internos.
No horizonte, a tendência é que ataques direcionados a sistemas de IA se tornem tão comuns quanto os incidentes em aplicações web tradicionais. À medida que agentes ganham autonomia para acessar dados sensíveis, tomar decisões operacionais e acionar integrações críticas, tornam-se, inevitavelmente, novos alvos prioritários para invasores. Conhecer casos como o AgentForger e ajustar processos antes que ocorram explorações em larga escala pode ser o diferencial entre um incidente controlado e uma violação de grandes proporções.
Para as empresas que apostam em IA como motor de produtividade, o recado é direto: segurança não pode ser um acessório adicionado depois, mas um requisito central na adoção de qualquer recurso automatizado. Revisar agentes existentes, estabelecer governança clara e integrar a proteção de plataformas de IA ao programa de segurança corporativa deixa de ser uma recomendação genérica e passa a ser uma necessidade imediata.