Une faille baptisée AgentForger permettait de détourner l'outil Agent Builder de ChatGPT pour créer, à l'insu d'un employé, un agent IA autonome capable d'aspirer des données et de propager des attaques de phishing.

En bref

  • Un lien piégé suffisait à créer un agent IA malveillant
  • La faille touchait l’outil Agent Builder de ChatGPT
  • OpenAI a corrigé le problème le 8 juin 2026

Un lien anodin, une porte dérobée dans l’entreprise

Des chercheurs de Zenity Labs ont mis au jour une vulnérabilité critique dans les Workspace Agents de ChatGPT, l’outil d’OpenAI permettant de construire des agents autonomes capables d’agir sur les applications professionnelles.

Baptisée AgentForger, cette faille reposait sur une technique de falsification de requête intersite, mieux connue sous l’acronyme CSRF. En clair, il suffisait qu’un salarié connecté à ChatGPT clique sur un lien en apparence inoffensif pour qu’un agent entièrement configuré par un attaquant se déploie dans son environnement professionnel, sans la moindre validation supplémentaire.

un-simple-lien-pouvait-transformer-chatg

Comment fonctionnait l’attaque

L’outil Agent Builder acceptait des paramètres d’initialisation directement passés dans l’URL, dont le modèle d’agent à utiliser et l’instruction à exécuter. Selon Mike Takahashi, chercheur en red team chez Zenity, cette instruction n’était pas simplement affichée dans la barre de saisie : elle était automatiquement soumise et exécutée dès le chargement de la page.

𝗖𝗼𝗻𝗻𝗲𝗰𝘁𝗲𝗱 𝗔𝗴𝗲𝗻𝘁𝘀: 𝗧𝗵𝗲 𝗛𝗶𝗱𝗱𝗲𝗻 𝗕𝗮𝗰𝗸𝗱𝗼𝗼𝗿 𝗶𝗻 𝗬𝗼𝘂𝗿 𝗖𝗼𝗽𝗶𝗹𝗼𝘁

Zenity Labs’ article explains Microsoft Copilot Studio’s new Connected Agents feature, which allows agents to reuse each other’s logic and tools. While powerful for efficiency, it… pic.twitter.com/gbKBgZ8RJO

— Steven Lim (@0x534c) December 29, 2025

Un lien du type chatgpt.com/agents/studio/new?template_name=...&initial_assistant_prompt=... suffisait donc à déclencher la chaîne d’attaque, à condition que la victime soit connectée à ChatGPT, dispose d’un accès aux Workspace Agents, et ait déjà relié au moins un connecteur professionnel comme Outlook, Gmail, Slack ou Teams.

Un agent autonome au service de l’attaquant

Une fois activé, le faux agent suivait un scénario précis : récupération de tous les connecteurs disponibles, désactivation des demandes d’approbation, publication immédiate et programmation d’une exécution toutes les heures. Ce dernier point transformait l’agent en véritable mécanisme de persistance, capable de survivre bien après la fermeture de l’onglet initial.

À chaque cycle, l’agent scrutait la boîte mail de la victime à la recherche de messages dont l’objet commençait par le mot clé TASK, exécutait les instructions reçues puis renvoyait les résultats à l’adresse de l’attaquant. Le mode Aperçu, censé permettre de tester un agent avant sa mise en production, exécutait en réalité les actions en conditions réelles, avec les accès déjà validés.

Des risques concrets pour les organisations

  • Vol de documents sensibles stockés sur des services cloud
  • Récupération de mots de passe échangés sur Slack
  • Envoi de liens de phishing via Teams en usurpant l’identité de la victime
  • Redirection des collègues vers de fausses pages de connexion Microsoft

Cette dernière possibilité ouvrait la voie à des scénarios de compromission de messagerie professionnelle à plus grande échelle, l’agent forgé pouvant relayer l’attaque à d’autres employés sans nouvelle interaction de la victime initiale.

Une faille de confiance plus qu’une simple bogue technique

Pour Zenity, AgentForger illustre avant tout une défaillance de confiance : la plateforme considérait comme acquis que tout agent créé, approuvé et programmé l’avait été volontairement par l’utilisateur. Or rien ne garantissait que ce dernier ait agi consciemment.

OpenAI a corrigé la vulnérabilité le 8 juin 2026, après une divulgation responsable de la part des chercheurs. L’outil Agent Builder doit par ailleurs être abandonné d’ici le 30 novembre 2026, au profit du kit de développement Agents SDK. Cet épisode s’ajoute à une série de découvertes récentes de Zenity sur l’exploitation d’infrastructures IA mal sécurisées, rappelant que la généralisation des agents autonomes en entreprise s’accompagne de nouveaux angles d’attaque encore mal anticipés.