"AgentForger" açığı: tek bir link ile ChatGPT içinde çalışanın yetkisine sahip sahte AI ajanı oluşturulabiliyordu

Güvenlik araştırma şirketi Zenity Labs, OpenAI’ın ChatGPT Workspace Agents (Agent Builder) özelliğinde kritik bir siteler-arası sahtecilik (cross-site request forgery) açığı buldu ve bunu AgentForger adıyla kamuya açıkladı.

Açık nasıl çalışıyordu

Araştırmacılara göre, Agent Builder’ın başlatma URL’sindeki iki parametre — biri kullanılacak ajan şablonunu, diğeri (initial_assistant_prompt) ajana verilecek talimatları belirliyor — dışarıdan manipüle edilebiliyordu. Kurbanın tıkladığı tek bir hazırlanmış link, saldırganın tanımladığı talimatlarla çalışan bir ajanı, kurbanın ChatGPT hesabı içinde otomatik olarak oluşturabiliyordu.

Etkisi

Bu şekilde oluşturulan sahte ajan, kurbanın daha önce ChatGPT’ye bağladığı kurumsal uygulamalara — e-posta, takvim, bulut depolama, Slack ve Teams gibi araçlara — otomatik olarak erişim kazanıyordu. Onay adımları devre dışı bırakılan bu ajan; hassas veri sızdırabiliyor, kimlik bilgisi ve MFA token’ı toplayabiliyor, çalışanı taklit edebiliyor ve ilk kimlik avı saldırısından çok sonra bile çalışmaya devam edebiliyordu.

Çözüm süreci

OpenAI, Zenity’nin bulgusunu kabul etti ve açığı bildirimden üç gün içinde kapattı. Kamuya açıklama ise sorumlu ifşa süreci tamamlandıktan sonra 23 Temmuz 2026’da yapıldı.

Neden önemli

AgentForger, “AI ajanı” kavramının artık soyut bir demo değil, gerçek kurumsal yetkilere sahip bir yazılım bileşeni olduğunu gösteriyor. Bir ajanın çalışanın izinlerini miras alması, klasik CSRF saldırılarını “veri çalma”dan “otonom, kalıcı bir içeriden tehdit yaratma” seviyesine taşıyor — ajan tabanlı otomasyonu benimseyen şirketler için onay/izin mimarisinin yeniden değerlendirilmesi gerektiğine işaret ediyor.