OpenAI ha corretto una vulnerabilità in ChatGPT Agent Builder che avrebbe potuto consentire a un attaccante di indurre una vittima a distribuire un agente AI malevolo nella propria infrastruttura. La falla, battezzata “AgentForger” dai ricercatori che l’hanno individuata, trasformava un normale collegamento in un possibile veicolo d’attacco: era sufficiente che l’utente facesse clic perché Agent Builder ricevesse ed eseguisse le istruzioni incorporate, senza chiedere conferma e senza mostrare una notifica preventiva.
La scoperta è stata effettuata da Zenity Labs, che ha ricondotto il problema a un parametro eccessivamente permissivo dello strumento. Il parametro permetteva di generare collegamenti diretti a ChatGPT contenenti praticamente qualsiasi istruzione. Un criminale informatico avrebbe quindi potuto preparare il link, inserirlo in un messaggio ingannevole e affidare alla vittima l’ultimo passaggio dell’attacco: l’attivazione inconsapevole dell’agente all’interno dello stack tecnologico aziendale.
Agent Builder è progettato per creare agenti AI personalizzati, destinati ad automatizzare attività come la gestione delle email dei clienti o il monitoraggio dei report sulle nuove vulnerabilità di sicurezza. AgentForger sfruttava proprio questa capacità operativa. Dopo il clic, le istruzioni incorporate nel link venivano trasmesse allo strumento, che iniziava ad applicarle immediatamente. La vittima non doveva copiare comandi, configurare manualmente l’agente o approvare una sequenza visibile di operazioni.
In uno scenario teorico, una singola email di phishing avrebbe potuto portare alla distribuzione di un agente incaricato di esfiltrare dati sensibili o di compiere qualunque altra azione consentita agli agenti AI dell’organizzazione. Il rischio non si esauriva con l’attivazione iniziale: l’agente avrebbe potuto mantenere una presenza persistente nell’infrastruttura, continuando a eseguire le istruzioni dell’attaccante fino alla propria individuazione. La portata effettiva sarebbe dipesa dai permessi assegnati agli agenti nell’ambiente colpito.
“È un fallimento della fiducia negli agenti, e i controlli di sicurezza esistenti non sono mai stati costruiti per rilevarlo”, ha commentato Michael Bargury, cofondatore e chief technology officer di Zenity. La definizione concentra l’attenzione su un punto specifico: il comando malevolo non si presenta necessariamente come un malware tradizionale, ma come un’istruzione consegnata a uno strumento autorizzato, capace di operare con le facoltà che l’impresa gli ha attribuito.
I ricercatori hanno comunicato i risultati a OpenAI all’inizio di giugno 2026. L’azienda ha distribuito una correzione pochi giorni dopo, eliminando il parametro URL che rendeva possibile l’attacco. Non risultano evidenze che la vulnerabilità fosse stata scoperta in precedenza o sfruttata da attori malevoli. La risposta ha quindi chiuso il percorso tecnico descritto dai ricercatori prima che emergessero casi documentati di compromissione.
AgentForger mostra come l’adozione di agenti capaci di agire nei sistemi aziendali sposti parte della superficie d’attacco verso istruzioni, collegamenti e meccanismi di autorizzazione. Un clic può avere conseguenze più estese quando non apre soltanto una pagina, ma avvia un componente persistente dotato di permessi operativi. La sicurezza degli agenti AI passa così anche dalla verifica di come vengono ricevuti i comandi, da quali conferme precedono la loro esecuzione e da quanto rapidamente un agente anomalo può essere individuato.