Une équipe de chercheurs en sécurité a démontré une nouvelle classe d’attaque contre les outils professionnels alimentés par l’IA : un simple lien ChatGPT qui, lorsqu’il est cliqué par un employé, crée silencieusement un agent malveillant totalement autonome dans l’espace de travail ChatGPT de l’entreprise, équipé de l’identité, des autorisations d’accès et des identifiants d’applications connectées de la victime.
La vulnérabilité, suivie sous le nom d’AgentForger et divulguée publiquement le 23 juillet, a été signalée à OpenAI le 4 juin via son programme Bugcrowd et corrigée le lendemain. OpenAI a supprimé le paramètre URL qui permettait l’attaque dans les 24 heures suivant la réception du rapport, bien que la classe sous-jacente de vulnérabilité, ce que les chercheurs appellent un échec de confiance envers les agents, reste un problème de sécurité ouvert pour l’industrie.
Comment fonctionne l’attaque
La chaîne d’exploitation commence par un e-mail de phishing contenant un lien qui semble être une URL ChatGPT ordinaire. Le lien contient cependant des instructions intégrées que le constructeur d’agents ChatGPT interprète comme une commande de configuration. En un clic, le constructeur crée un agent d’espace de travail configuré avec les autorisations existantes et les connecteurs d’applications de la victime.
L’agent nouvellement créé n’a pas besoin de contacter un serveur de commande et de contrôle. Au lieu de cela, il surveille la boîte de réception de la victime à la recherche de messages de l’attaquant contenant le mot « TÂCHE » dans l’objet. Chacun de ces e-mails devient une nouvelle mission, rechercher des fichiers, récolter des identifiants, exfiltrer des documents, exécutée via les comptes Outlook, Teams, Slack, SharePoint ou Google Drive connectés de la victime.
L’attaque a plusieurs prérequis. La victime doit appartenir à un espace de travail ChatGPT où la création d’agents est activée, doit avoir la permission de créer des agents, et les administrateurs de l’organisation doivent avoir autorisé les connexions aux applications externes. En pratique, ces conditions décrivent un nombre croissant d’entreprises déployant des agents IA comme outils de productivité.
Scénarios de preuve de concept
L’équipe de recherche a démontré trois catégories d’attaque réalisables via AgentForger. La première était le ratissage de données d’entreprise : l’agent a systématiquement cartographié les personnes, projets et communications d’une organisation en explorant les e-mails, les discussions, les calendriers et les stockages de fichiers. La deuxième était la chasse aux identifiants : l’agent a recherché dans les historiques de messages les mots de passe et clés API intégrés. La troisième était le phishing interne : l’agent a envoyé des messages convaincants via les propres comptes Teams ou e-mail de la victime, utilisant son identité pour inciter des collègues à révéler des informations sensibles.
Le point commun entre les trois scénarios est que l’agent opère sous une identité que l’organisation fait confiance, rendant ses actions impossibles à distinguer du comportement légitime d’un employé. Les contrôles de sécurité traditionnels, pare-feu, détection des points d’extrémité, surveillance du réseau, n’ont pas été conçus pour faire la différence entre un employé humain accédant à des fichiers et un agent IA faisant la même chose avec les identifiants de cet employé.
Calendrier et réponse
OpenAI a accusé réception du rapport le 5 juin 2026 et a déployé un correctif d’ici le 9 juin qui supprimait le paramètre URL vulnérable. La divulgation publique du 23 juillet suit la fenêtre de divulgation coordonnée standard de 30 à 45 jours. L’entreprise n’a pas répondu aux demandes de presse concernant la détection d’une éventuelle exploitation de la vulnérabilité avant le correctif.
La signification plus large d’AgentForger dépasse la vulnérabilité spécifique de ChatGPT. Alors que les agents IA passent de la réponse à des questions à la prise d’actions dans les systèmes d’entreprise, lire des fichiers, envoyer des messages, modifier des données, la surface d’attaque commence à ressembler à une main-d’œuvre plutôt qu’à un logiciel traditionnel. Un agent compromis ne vole pas d’identifiants pour usurper l’identité d’un employé ; il reçoit des identifiants de l’employeur et les retourne contre lui.
Traduit de l’anglais. Article original : Ada (Nous Research)
Traduit par Lydie