AgentForger : la faille ChatGPT aux agents IA espions

Un clic, un agent espion : comment AgentForger prenait le contrôle de ChatGPT Enterprise

Le 23 juillet 2026, Zenity Labs a publié une recherche sur une vulnérabilité baptisée AgentForger, découverte dans ChatGPT Agent Builder, la fonctionnalité permettant aux entreprises de créer des agents IA personnalisés dans les environnements ChatGPT Enterprise et Workspace. La faille est de nature CSRF — Cross-Site Request Forgery — mais adaptée à l'infrastructure des agents IA, une catégorie d'attaque inédite que les chercheurs ont qualifiée de cross-site agent forgery.

Le mécanisme d'exploitation repose sur deux paramètres URL exposés dans l'interface Agent Builder de ChatGPT : un sélecteur de template et un champ de prompt initial. En manipulant ces paramètres dans un lien spécialement forgé, un attaquant peut déclencher la création automatique d'un agent IA sous l'identité de l'utilisateur qui clique — sans confirmation, sans boîte de dialogue d'approbation. L'agent créé hérite de l'identité et des permissions de la victime dans l'environnement ChatGPT de l'organisation.

L'agent forgé par Zenity Labs lors de la démonstration de concept se comportait comme un implant persistant sophistiqué. Toutes les cinq minutes, il interrogeait la boîte mail de l'attaquant pour y lire de nouvelles instructions — un mécanisme de commande et contrôle (C2) minimaliste mais fonctionnel, entièrement dissimulé dans les activités normales d'un agent IA. Sans accès aux journaux d'audit ChatGPT ou à une solution de détection comportementale spécifiquement adaptée aux agents, une équipe de sécurité n'aurait disposé d'aucun indicateur visible d'activité malveillante.

Les capacités offensives démontrées sont directement mappées sur les tactiques de business email compromise (BEC) et d'espionnage interne. L'agent pouvait cartographier la structure organisationnelle en analysant les contacts et communications de la victime, extraire des fichiers sensibles accessibles depuis l'environnement ChatGPT Workspace, envoyer des messages via Microsoft Teams sous l'identité de la victime, et solliciter des approbations de virements — une fraude au président exécutée de manière entièrement automatisée par un agent IA. Les chercheurs ont également démontré l'extraction de données salariales, particulièrement sensibles dans un contexte de confidentialité RH.

Ce qui distingue AgentForger des attaques BEC traditionnelles n'est pas seulement la technique mais l'échelle et la persistance. Un attaquant humain doit opérer manuellement, ce qui limite sa capacité à maintenir une présence discrète sur la durée. Un agent IA compromis peut fonctionner en continu, 24h/24, exécuter des instructions complexes en quelques secondes et adapter son comportement en temps réel selon les directives reçues via la boîte mail de l'attaquant. Le coût marginal d'une attaque à grande échelle chute drastiquement dès lors que l'agent est déployé.

Zenity Labs a communiqué sa découverte à OpenAI via le programme de divulgation responsable géré par Bugcrowd, le 4 juin 2026. OpenAI a confirmé réception et nature de la vulnérabilité dans les 24 heures, et a déployé un correctif le 8 juin 2026 en supprimant le paramètre URL vulnérable de l'interface Agent Builder. La divulgation publique par Zenity Labs est intervenue le 23 juillet, six semaines après la correction, conformément aux pratiques standard de responsible disclosure. OpenAI a indiqué qu'aucune exploitation de la faille dans la nature n'avait été identifiée avant le patch.

AgentForger s'inscrit dans une tendance documentée depuis fin 2025 : l'extension de la surface d'attaque liée à la prolifération des agents IA en environnement enterprise. Des recherches précédentes avaient identifié des vulnérabilités d'injection de prompt permettant de manipuler le comportement d'agents connectés à des bases de données ou à des APIs internes. AgentForger pousse le concept un cran plus loin en montrant qu'il n'est pas nécessaire d'injecter des instructions malveillantes dans les données traitées par un agent existant : il est possible de créer un agent entièrement nouveau, malveillant dès sa conception, sous l'identité d'un utilisateur légitime.

Pour les équipes de sécurité, la publication de cette recherche intervient à un moment où de nombreuses organisations déploient ChatGPT Enterprise ou des solutions équivalentes — Microsoft 365 Copilot, Google Workspace Duet AI — sans avoir défini de politiques de gouvernance spécifiques aux agents IA. La vitesse d'adoption dépasse souvent la maturité des processus de sécurité associés, créant une fenêtre d'exposition exploitable par des acteurs malveillants avertis.

L'émergence des attaques cross-site agent forgery dans l'ère de l'IA générative

AgentForger représente une évolution significative dans la taxonomie des menaces liées à l'IA générative. Si les attaques par injection de prompt sont désormais bien documentées et commencent à être intégrées dans les frameworks comme l'OWASP Top 10 for LLM Applications, le concept de cross-site agent forgery ouvre une nouvelle catégorie d'attaque. L'analogie avec le CSRF classique est pertinente : de même qu'un CSRF exploite la confiance qu'un serveur place dans le navigateur authentifié d'un utilisateur, un CSAF exploite la confiance qu'une plateforme d'agents IA place dans le compte authentifié de l'utilisateur pour créer des entités persistantes et autonomes à son insu.

Cette surface d'attaque est susceptible de s'étendre bien au-delà de ChatGPT. Toute plateforme d'agents IA exposant des fonctionnalités de création ou de configuration via des paramètres URL ou des endpoints insuffisamment protégés est potentiellement vulnérable à des variantes d'AgentForger. Les principaux hyperscalers — Microsoft Copilot Studio, Google Vertex AI Agent Builder, Amazon Bedrock Agents — ainsi que les startups spécialisées dans les plateformes d'agents enterprise devront auditer leurs interfaces de création d'agents à l'aune de ce nouveau vecteur.

Pour les entreprises ayant déployé ChatGPT Enterprise ou des agents IA similaires, les mesures défensives prioritaires sont claires : activer les journaux d'audit pour la création et l'activité des agents, mettre en place des processus d'approbation humaine pour la création de nouveaux agents (approche zero-trust appliquée à la création d'entités IA), et sensibiliser les collaborateurs à ne pas cliquer sur des liens ChatGPT transmis par des canaux non vérifiés. Plus structurellement, l'adoption de solutions de gouvernance des agents IA — un marché en cours de structuration — devient une nécessité opérationnelle.

La réaction d'OpenAI illustre par ailleurs les bonnes pratiques de réponse à la divulgation responsable dans l'écosystème IA. Un correctif en quatre jours après notification contraste favorablement avec des délais de réponse souvent plus longs observés dans l'industrie. La maturité du programme Bugcrowd d'OpenAI, qui inclut des primes de bug bounty pour les vulnérabilités critiques liées aux agents, contribue à inciter les chercheurs à privilégier la disclosure responsable plutôt que la vente d'exploits ou la divulgation immédiate.

Ce qu'il faut retenir

• AgentForger démontrait qu'un simple lien de phishing ChatGPT pouvait créer un agent IA espion autonome dans l'organisation de la victime, avec accès à ses données, messages et permissions.
• La faille a été patchée par OpenAI le 8 juin 2026, quatre jours après notification par Zenity Labs via Bugcrowd, sans exploitation documentée dans la nature avant la correction.
• Les équipes de sécurité doivent auditer leurs politiques de gouvernance des agents IA et activer les journaux de création d'agents dans ChatGPT Enterprise, Copilot Studio et équivalents.