חוקרים חשפו שלוש פגיעויות ב-Salesforce Agentforce שאיפשרו גניבת מידע ללא קליק

חברת Zenity Labs חשפה שלושה פערי אבטחה בפלטפורמת סוכני ה-AI Salesforce Agentforce, שכונו יחד SalesBleed. השילוב בין השלושה איפשר לתקוף ארגון בלי להתחבר בכלל למערכת ה-CRM שלו ובלי שאף עובד ילחץ על קישור — התקיפה קרתה ברגע שסוכן ה-AI עיבד פנייה שנראתה תמימה.

הפרטים

נקודת הכניסה הייתה טופס Web-to-Lead — המנגנון הרשמי של Salesforce לקליטת פניות מאתרי אינטרנט אל תוך ה-CRM, הפתוח לכל גולש. תוקף יכול למלא בטופס כזה "ליד" תמים למראה, אך להטמיע באחד השדות הנחיה נסתרת (הזרקת פרומפט עקיפה). ההנחיה נשארת רדומה עד שעובד בארגון מבקש מסוכן Agentforce לטפל בפנייה — ואז הסוכן, שאינו מבחין בין תוכן לגיטימי להנחיה זדונית, מבצע את הפעולה המוסתרת.

Zenity Labs מצאו גם חולשה במנגנון Trusted URLs, שנועד להגביל לאילו כתובות חוץ הסוכן מורשה לגשת ולסנן קישורים לא מאומתים. שרשור תווים מסוימים ודומיינים בסיומת לא שגרתית גרמו למנגנון לא לזהות כתובת כחיצונית — כך אפשר להסתיר קישור פישינג מאחורי טקסט תמים. את הפגיעות השלישית ניתן היה לשלב עם אינטגרציית Slack של הסוכן: כשעובד מבקש מהסוכן לסקור את הליד, הסוכן עצמו שולח הודעה לערוץ Slack פנימי ומאמין — עם קישור הפישינג המוסתר — תחת הזהות המהימנה של הסוכן ובלי לחשוף מי עומד מאחורי הבקשה המקורית.

נקודות לשים לב

• מכיוון ש-Agentforce הוא שירות עננה, אין פעולת עדכון שנדרשת מהלקוחות — Salesforce תיקנה את החולשה בצד השרת עבור כולם.
• ארגונים שמפעילים טפסי Web-to-Lead ומחברים אותם לסוכני AI כדאי שיבדקו אילו הרשאות ואינטגרציות (כמו שליחת הודעות ל-Slack) יש לסוכן, ולא להניח שתוכן שמגיע מטופס חיצוני הוא נתונים בלבד.
• המקרה מדגים דפוס תקיפה רחב יותר על סוכני AI ארגוניים: הזרקת פרומפט עקיפה דרך תוכן שנראה שגרתי (טופס, מייל, מסמך) שממתין לרגע שבו הסוכן — לא בן אדם — יעבד אותו.
• אין להסיק מהמקרה הזה שסוכני AI ב-CRM לא בטוחים לשימוש; המסקנה הנכונה היא לבדוק אילו פעולות חוצות-מערכת (שליחת הודעות, גישה לקישורים חיצוניים) הסוכן מורשה לבצע באופן אוטונומי.

מקורות: SecurityWeek · Dark Reading