Un clic en ChatGPT puede colar un agente malicioso en tu empresa

¿Qué ha ocurrido?

Investigadores de seguridad de Zenity Labs descubrieron una vulnerabilidad crítica en el constructor de agentes de ChatGPT, bautizada como AgentForger. La técnica permitía a un atacante, mediante un simple clic en un enlace de ChatGPT aparentemente legítimo, crear, configurar, publicar y programar un agente malicioso dentro del workspace de la víctima. El agente podía actuar utilizando las cuentas y permisos conectados del empleado, como Outlook, Teams, Slack, SharePoint o Google Drive, siempre que la organización tuviera habilitadas esas integraciones. Según Michael Bargury, cofundador y CTO de Zenity, “Esto no es una solicitud falsificada, es un infiltrado falsificado. Con un clic, un atacante obtiene un agente completamente autónomo dentro de tu empresa que tiene la identidad y el acceso de tus empleados, con las protecciones desactivadas”.

El ataque explotaba el propio constructor de agentes de ChatGPT, que aceptaba instrucciones incrustadas en un enlace aparentemente normal. Al hacer clic, el constructor creaba un agente que se conectaba a las aplicaciones ya autorizadas por la víctima, desactivaba las solicitudes de aprobación y se programaba para ejecutarse periódicamente. La comunicación con el atacante se realizaba a través del correo electrónico de la víctima, buscando mensajes con el asunto “TASK” para recibir nuevas órdenes, evitando así infraestructuras de comando y control tradicionales.

¿Por qué es importante?

Este incidente marca un hito en la evolución de las amenazas cibernéticas: ya no se trata solo de robar credenciales o secuestrar sesiones, sino de crear un empleado digital malicioso que opere desde dentro, con permisos legítimos. Los agentes de IA, al estar diseñados para actuar autónomamente sobre sistemas corporativos, representan una nueva superficie de ataque que las defensas tradicionales no están preparadas para detectar. A diferencia de ataques anteriores como el secuestro de sesiones o el phishing de credenciales, AgentForger no requería exploits complejos; simplemente engañaba al propio constructor de agentes de ChatGPT para que ejecutara instrucciones maliciosas. Esto subraya un cambio de paradigma: los atacantes ya no buscan puertas traseras, sino que crean usuarios internos ficticios con acceso legítimo.

Históricamente, las vulnerabilidades en asistentes de IA han sido limitadas a ataques de inyección de prompts o jailbreaks. Sin embargo, AgentForger va más allá al comprometer el flujo de creación de agentes, un componente fundamental de la plataforma. Comparado con el caso de Tay de Microsoft en 2016, donde un chatbot aprendía comportamientos ofensivos, aquí el agente malicioso es creado deliberadamente por un atacante y actúa con permisos reales. Esto tiene implicaciones directas para la adopción empresarial de la IA, ya que socava la confianza en los asistentes autónomos.

Consecuencias y lecciones

Zenity demostró escenarios de ataque que incluían:

• Mapear automáticamente la estructura organizativa y los proyectos de la empresa.
• Buscar contraseñas y claves API en conversaciones de chat.
• Enviar mensajes de phishing convincentes desde la cuenta de Teams de la víctima.
• Exfiltrar documentos sensibles por correo electrónico.

OpenAI corrigió la vulnerabilidad en cuatro días tras ser notificada, eliminando el parámetro URL que permitía el ataque. Sin embargo, el incidente subraya que la seguridad de los agentes de IA debe evolucionar: los agentes no son solo software, son extensiones de la fuerza laboral y requieren controles de acceso, monitoreo de comportamiento y políticas de uso específicas. La respuesta de OpenAI fue rápida, pero el hecho de que la vulnerabilidad existiera revela lagunas en el diseño de seguridad de plataformas de IA generativa.

Para las empresas, el impacto es doble: primero, la necesidad de revisar las configuraciones de permisos en ChatGPT Workspace y limitar quién puede crear agentes. Segundo, implementar monitoreo de actividad anómala de agentes, como accesos a datos fuera del horario laboral o patrones de comunicación inusuales. La lección más amplia es que la adopción de agentes de IA debe ir acompañada de un marco de seguridad de confianza cero que trate a cada agente como un usuario más, sujeto a autenticación, autorización y auditoría continua.

“Los atacantes ya no tienen que irrumpir para robar tus datos. Pueden falsificar un insider para que vaya a buscarlos”, advierte Bargury.

Este ataque también tiene paralelismos con el uso de bots en redes sociales para manipular opiniones, pero aquí el bot opera dentro de la infraestructura corporativa, con acceso a datos sensibles. La velocidad de respuesta de OpenAI es positiva, pero la industria debe aprender de este incidente para diseñar agentes con principios de seguridad desde el diseño.

¿Qué deben saber los lectores?

Si tu empresa utiliza ChatGPT Workspace con agentes y conectores a aplicaciones empresariales, es crucial revisar las políticas de permisos y asegurarse de que solo los usuarios autorizados puedan crear agentes. Además, implementar monitoreo de actividades anómalas de agentes y limitar las acciones que pueden realizar sin aprobación explícita. La vulnerabilidad AgentForger es un recordatorio de que la seguridad de la IA no es solo un problema técnico, sino de gobernanza. Las organizaciones deben tratar a los agentes como empleados digitales, con controles de acceso basados en roles, registro de actividades y revisiones periódicas de permisos.

Para los usuarios individuales, la lección es desconfiar de enlaces sospechosos incluso dentro de plataformas confiables como ChatGPT. La ingeniería social sigue siendo el vector principal, ahora potenciado por la capacidad de crear agentes autónomos. Finalmente, este caso debe impulsar a los reguladores a considerar marcos de seguridad específicos para agentes de IA, similares a los existentes para APIs y servicios en la nube. La adopción de agentes de IA está en sus primeras etapas, y eventos como AgentForger definen cómo se desarrollará la confianza en esta tecnología.