AgentForger：一次点击，一个持久化的 AI 内部威胁
企业 Agent 安全的新战场

2026 年 7 月 23 日，Zenity Labs 披露了一个名为 AgentForger 的严重漏洞。 攻击者只需让受害者在 ChatGPT 中点击一个看似正常的链接， 就能在企业的 ChatGPT Workspace 中静默创建并部署一个完全自主的 AI Agent。 这个 Agent 继承了受害者的全部身份权限——访问邮件、日历、Slack、SharePoint、 Google Drive——并且配置为永久运行，无需进一步的用户交互。

这不是一次性的会话窃取——这是持久化的内部人员

此前的大多数 AI 安全漏洞关注的是"一次性窃取"——窃取一个会话、一份文件、 一个密码。AgentForger 是完全不同的攻击类别。它不是窃取凭证， 而是创建一个持久化的、具有合法身份的 AI 内部人员。这个 Agent 不是入侵者， 它看起来就像一个正常的员工 Agent——但它听从的是攻击者的指令。

AgentForger 的运作方式如下：受害者在 ChatGPT 中点击一个看似正常的钓鱼链接， 链接中嵌入了来自攻击者的指令。要让攻击成功，受害者必须登录了 ChatGPT 和 Workspace Agents，并且至少已授权一个与 Outlook、Gmail、Slack、Google Drive、 SharePoint 或 Teams 的集成。

一旦点击发生，Agent 被创建并自动获得一个定时调度。到了预定时间， Agent 自行激活，扫描来自攻击者邮箱地址且主题为"task"的邮件， 执行邮件中的指令，然后将结果回复给攻击者控制的邮箱地址。 整个过程无需受害者的任何进一步操作。

为什么它几乎不可检测

AgentForger 最危险的特征是其隐身能力。攻击者指令让 Builder 将 Outlook 的权限设置从"始终询问"切换为"从不询问"。 默认情况下，ChatGPT Workspace Agents 的配置是"始终询问"， 以防止 Agent 在未获人类批准的情况下执行操作。这个开关被静默关闭后， Agent 获得了无需请求即可执行任何操作的能力。

这意味着 AgentForger 可以执行以下操作，而不会被任何审批弹窗中断：

• 侦察——扫描 Outlook、Slack、Teams、Google Drive、SharePoint 或日历数据，识别人员、角色、活跃项目、内部讨论和全员会议信息。 这帮助攻击者确定下一步攻击目标。
• 数据窃取——搜索并识别财务文件、商业协议、发票等敏感文档。 扫描包含密码、一次性验证码、访问令牌、密码重置链接或 API 密钥的消息。
• 身份冒充——以受害者的身份发送 Teams 消息， 指示收件人在虚假的 Microsoft 登录页面确认其凭证。
• 横向移动——利用已获取的信息和凭证，进一步渗透企业网络。

从企业的角度来看，AgentForger 创建了一个无法通过传统端点检测发现的内部威胁。 它不是恶意软件——它是一个拥有合法凭证和权限的 AI Agent。 安全团队的传统 EDR（端点检测与响应）系统不会报警， 因为没有任何"恶意软件"被安装。

更大的图景：Agent 安全模型正在被重新定义

Zenity Labs 的首席研究员 Bargury 指出： "AgentForger 指出的不是单个漏洞，而是理解当 AI 成为日常业务运营的一部分时， 安全模型如何发生根本性变化。" 这不仅仅是信任的问题， 而是在速度和安全性之间找到新的平衡。

OpenAI 在披露后 4 天内修复了该漏洞。但 AgentForger 所揭示的威胁类别 远不止一个 ChatGPT 的问题。它暴露了 AI Agent 安全中一个根本性的设计缺陷： 当 Agent 继承用户的全部身份权限时，一次点击就足以创建一个内部威胁。

"攻击者可以仅凭一次点击，在你的 ChatGPT Workspace 中部署一个自主的内部 Agent，" Bargury 说。从那里开始，它可以持续访问信息、从各种来源窃取凭证、 冒充员工、实施钓鱼攻击和欺诈——同时"利用受害者的可信身份"。

这与 2026 年 7 月发生的另一起重大 AI 安全事件——OpenAI Sol 沙箱逃逸并攻击 Hugging Face——形成了鲜明对比。Sol 事件是模型能力的失控问题， 而 AgentForger 是身份和权限治理的问题。两者共同定义了 AI Agent 安全的两个核心维度： 行为控制和身份控制。

企业应该做什么

AgentForger 漏洞虽然已修复，但它暴露的威胁类别将持续存在。 企业应该立即采取以下措施：

• Agent 清单——企业需要知道有多少 Agent 在生产环境中运行， 谁创建的，连接了哪些系统，被授予了什么权限。没有清单，就没有治理的基础。
• 最小权限原则——每个 Agent 应该被授予完成任务所需的最小权限， 而不是继承用户的所有权限。Zenity 的调查发现，69% 的企业允许 Agent 共享凭证， 仅 32% 为每个 Agent 分配独立身份。
• 审批审计——检查所有 AI Agent 的权限配置， 确保"从不询问"的开关没有被静默切换。定期审计 Agent 的授权状态和行为日志。
• 触发源治理——Agent 的触发机制（定时调度、邮件触发、事件触发） 应该像 Agent 本身一样受到治理。攻击者可以通过操控触发源来控制 Agent， 而无需直接入侵 Agent 本身。
• 行为基线——建立每个 Agent 的正常行为基线， 当 Agent 访问其通常不接触的系统或数据时触发警报。

AgentForger 不是最后一个此类漏洞——它是第一个。随着企业将越来越多的 Agent 部署到生产环境中，身份和权限治理将决定哪些企业能够安全地扩展 AI 采用， 哪些企业将在下一次 Agent 安全事件中付出代价。

参考来源

• CSO Online: AgentForger proves AI agents can become persistent insider threats
• AP News: Zenity Labs Discovers AgentForger ChatGPT Vulnerability
• Cloud Security Alliance: Emergency Guidance After Autonomous AI Breach