ChatGPTの脆弱性「AgentForger」により、フィッシングリンク経由で不正な自律型エージェントが組織内に配置される恐れ

要点

• OpenAIの「ChatGPT Workspace Agents」において、リンクをクリックするだけで組織内に不正な自律型AIエージェントを展開される深刻な脆弱性が存在した。
• セキュリティ企業のZenity Labsが「AgentForger」と命名したこの脆弱性は、2026年6月8日にOpenAIによって修正済みである。
• 脆弱性はエージェント作成ツールのURLパラメータに記述されたプロンプトが、ページ読み込み時に自動実行される不備に起因していた。
• 攻撃に成功すると、攻撃者が制御するエージェントが被害者の権限で動作し、メールやチャットなど連携アプリの機密情報を自動的に窃取する。
• 対象機能「Agent Builder」は2026年11月30日をもって廃止される予定であり、OpenAIはSDKへの移行を呼びかけている。

• セキュリティ企業のZenity Labsは2026年7月24日、OpenAIの「ChatGPT Workspace Agents」に存在する深刻な脆弱性の詳細を公開した。「AgentForger」と名付けられたこの脆弱性は、被害者にフィッシングリンクを1回クリックさせるだけで、被害組織の内部に攻撃者が制御する自律型AIエージェントを自動的に構築・展開できるというものである。なお、この問題は同社からの報告を受け、OpenAIによって2026年6月8日に対処が完了している。

• Zenity Labsのレポートによると、この脆弱性は「クロスサイトリクエストフォージェリ（CSRF：ユーザーが意図しない操作を特定のWebサイト上で強制実行させる攻撃手法）」の一種に分類される。悪用された場合、信頼された組織のネットワーク境界の内部において、攻撃者が制御する悪意あるAIエージェントが被害者のアカウント権限で勝手に作成されてしまうという。

• 対象となったのは、プログラムを書かずに複数ステップのAIワークフローを構築できるツール「Agent Builder（エージェントビルダー）」である。同ツールは起動時にURLパラメータ（Webアドレスの後ろに付与されるデータ情報）を通じて、エージェントのテンプレートや自然言語のプロンプト（AIへの指示文）を初期状態として受け取る仕様になっていた。

• 通常、パラメータに含まれる文字列は入力ボックスに配置されるだけだが、同ツールのシステムではページ読み込みと同時にプロンプトが自動的に送信・実行されてしまう不備があった。Zenity Labsの研究者マイク・タカハシ氏は「URL内に埋め込まれた指示が、ツールが最初に実行するコマンドになってしまう」と指摘している。

• この設計上の不備により、攻撃者は特定のパターンに基づいたフィッシングリンクを作成できる。このリンクは、エージェント作成画面のURLの末尾に、あらかじめ用意した悪意あるプロンプトを付加したものである。

• 攻撃が成功する前提条件として、被害者がChatGPTにログインしており、組織用の「Workspace Agents」へのアクセス権を持っている必要がある。さらに、OutlookやGmail、Slack、TeamsといったビジネスアプリとChatGPTを接続する「コネクタ（外部連携機能）」を、すでに1つ以上承認している必要があるという。

• 被害者が悪意あるリンクをクリックすると、ChatGPTは被害者のログインセッションのまま作成ツールを開き、追加の操作なしにURL内のプロンプトを自動処理する仕組みとなっていた。

• 自動処理により、作成ツール内ではまず、組織データを集約する「chief-of-staff（チーフ・オブ・スタッフ）」テンプレートをベースに新しいエージェントが作成される。次に、利用可能なすべてのコネクタが接続され、設定が「承認を求めない」に変更される。これにより、エージェントがデータにアクセスするたびに確認を求めるポップアップが表示されなくなるという。

• さらに、このエージェントはアクティブ化され、1時間ごとに自動実行されるようスケジュール登録される。これは、攻撃者が被害者の環境にアクセスし続けるための「永続化（システム内に留まる仕組み）」の手段となる。最後に、動作テスト用の「プレビューモード」が呼び出され、即座にエージェントが実行される。

• Zenity Labsは、プレビューモードの仕様にも問題があったと説明する。プレビューは単なる表示上の確認にとどまらず、設定されたばかりの権限と連携設定を用いて、被害者の接続アカウントに対して実際にエージェントを実行してしまう挙動をとっていたという。

• この結果、作成された不正エージェントは稼働を開始し、毎回の実行時に特定のメールアドレスから「TASK」という件名で届く指示をスキャンする。そして指示されたタスクを実行し、結果を攻撃者のメールアドレス宛てに送信する仕組みが構築される。

• 脆弱性が悪用された場合、不正なエージェントは被害組織の奥深くまで侵入し、情報収集を行うだけでなく、クラウドストレージから機密文書を盗み出したり、Slack内などでやり取りされるパスワードを探索したりする危険性がある。これにより、攻撃者の指示通りに動く「持続的で自律的な内部関係者」のような脅威が社内に仕込まれることになると警告している。

• なお、今回問題となった「Agent Builder」について、OpenAIは2026年11月30日をもって製品の提供を終了（廃止）することを発表している。今後は同ツールを廃止し、より開発の自由度が高い「Agents SDK（ソフトウェア開発キット）」への移行をユーザーに対して促しているという。