A single click on the wrong link no longer just steals passwords or installs malware. It can birth a persistent AI agent inside your organization that reads your emails, rifles through your files, and chats with your coworkers under your name. Security researchers at Zenity Labs have demonstrated exactly this scenario with a technique they call AgentForger, and the mechanics reveal a disturbing gap in how we secure autonomous AI tools.
From CSRF to AgentForger: A New Class of Attack
Most security professionals know Cross-Site Request Forgery, or CSRF, as a classic web vulnerability. In its traditional form, an attacker tricks an authenticated user’s browser into firing off a single unauthorized request. Maybe it changes an account email address or disables two-factor authentication. The damage is usually contained to one action.
AgentForger blows that model apart. Rather than forging one request, it forges an entire autonomous agent inside OpenAI’s ChatGPT Workspace Agents. The attack starts at the ChatGPT Agent Builder, which lives at chatgpt.com/agents/studio/new. Under normal circumstances, building an agent is a hands-on process. You select a template, you review which tools the agent can touch, and you set guardrails so the machine asks before it reads your inbox or writes to your drive. The workflow assumes a human is paying attention at each step.
Zenity Labs discovered that these safeguards evaporate when an attacker controls the URL. By embedding specific query parameters—namely template_name and initial_assistant_prompt—a malicious link can pre-populate the entire creation form. When the victim clicks, the initial_assistant_prompt is submitted and executed automatically. The template selection, the tool review, and the permission dialogs never appear. The agent simply spawns in the background, configured exactly the way the attacker wants it, while the victim may only see an ordinary-looking ChatGPT page load and then close the tab.
This is not a traditional malware infection. Nothing gets downloaded to the laptop. The threat lives entirely inside the victim’s SaaS session, operating with the full legitimacy of the platform behind it.
Hijacking Trust Instead of Credentials
The real brutality of AgentForger lies in how it handles permissions. Enterprise users of ChatGPT Workspace routinely link their AI agents to business applications through OAuth. They authenticate once to connect Gmail, Outlook, Slack, Google Drive, or Microsoft Teams, and from then on the agent can query those services on their behalf.
AgentForger inherits all of this access automatically. Because the victim is already logged into ChatGPT and has already established those OAuth connections, the forged agent reuses them. The victim does not see a fresh consent screen asking whether this new agent should be allowed into their email. The system treats the agent as an extension of the user.
In Zenity’s demonstration, the attacker crafted the malicious URL to do something even more aggressive. It instructed the Agent Builder to flip every permission toggle for reading, writing, and deleting to "Never ask." Normally, the platform would prompt a human before executing sensitive actions—opening a spreadsheet, sending a message, deleting a calendar event. By forcing these controls to silent mode, the attacker removes the human-in-the-loop entirely. The agent becomes a ghost in the account, free to move through connected apps without generating a single alert or confirmation dialog.
A Command Channel Hiding in Plain Sight
Persistence turns a nasty exploit into an operational nightmare, and AgentForger achieves persistence through ChatGPT’s built-in scheduling features. The attacker sets multiple staggered schedules during the creation process, producing an agent that wakes up and runs as often as every five minutes.
Here is how the command-and-control loop works. The attacker sends an email to the victim’s Outlook inbox. The subject line contains a trigger word, such as "TASK." Every five minutes, the rogue agent scans the inbox looking for that trigger. When it finds a match, it opens the email, reads the instructions, executes them using the victim’s authenticated applications, and sends the results back to the attacker.
Email perusahaan korban sendiri menjadi infrastruktur command-and-control. Tidak ada beacon DNS yang mencurigakan, tidak ada koneksi ke alamat IP tidak dikenal di Eropa Timur, tidak ada biner malware untuk ditandai oleh deteksi endpoint. Lalu lintas data mengalir melalui API Microsoft atau Google menggunakan kredensial yang sepenuhnya sah. Bagi tim operasi keamanan yang memantau log jaringan, ini tampak seperti karyawan sibuk yang menggunakan alat SaaS yang telah disetujui.
Dampak Dunia Nyata: Memetakan Organisasi dan Menyalahgunakan Kepercayaan
Zenity Labs menguji batasan praktis dari serangan ini dalam lingkungan terkendali, dan hasilnya patut dikhawatirkan oleh CISO mana pun.
Menggunakan satu instruksi yang dikirimkan melalui pemicu email, para peneliti memerintahkan agen tersebut untuk memetakan organisasi. Agen tersebut melakukan kueri ke Slack, Microsoft Teams, dan SharePoint. Ia mengembalikan nama saluran, struktur tim, dan repositori file. Agen tersebut menemukan dokumen sensitif, termasuk lembar ketentuan M&A dan data kompensasi karyawan. Setiap akses dicatat di bawah identitas sah korban, membuat deteksi forensik menjadi masalah memilah antara kebisingan (noise) pengguna normal dengan kebisingan pengguna yang berbahaya.
Kemudian ada potensi rekayasa sosial (social engineering). Karena agen tersebut dapat mengirim pesan melalui akun Slack atau Teams resmi korban, ia dapat melakukan kampanye phishing internal yang sepenuhnya melewati gateway email eksternal dan pemeriksaan DMARC. Bayangkan sebuah pesan langsung dari rekan kerja tepercaya yang meminta Anda untuk mengonfirmasi peluncuran SSO mendatang atau mengeklik tautan untuk menguji portal tunjangan baru. Pesan tersebut membawa nama rekan kerja, foto profil, dan konteks riwayat obrolan. Pesan itu muncul di utas percakapan yang sama di mana Anda membahas rencana makan siang kemarin. Tingkat kepercayaan tersebut secara fundamental berbeda dari domain palsu (spoofed domain) atau alamat pengirim yang salah ketik, dan AgentForger mengeksploitasinya tanpa ampun.
Kesimpulan Utama
AgentForger mengungkap masalah struktural dalam cara platform AI perusahaan mewarisi kepercayaan. Kita sedang membangun agen otonom yang dapat menjadwalkan dirinya sendiri, menulis kode, dan melakukan kueri data sensitif, namun kita masih menggunakan model izin yang dirancang untuk aplikasi web statis di mana manusia mengeklik setiap tombol. Batas antara "apa yang dilakukan pengguna" dan "apa yang dilakukan agen pengguna" telah runtuh, dan penyerang kini berada dalam posisi untuk mengeksploitasi keruntuhan tersebut dalam skala besar.
Organisasi yang menggunakan ChatGPT Workspace perlu memperlakukan pembuatan agen sebagai operasi istimewa (privileged operation), bukan alur kerja biasa. Itu berarti mengaudit cakupan (scope) OAuth untuk memastikan agen tidak dapat mengakses seluruh kotak masuk atau penyimpanan file secara diam-diam. Itu berarti memantau lonjakan aktivitas yang tampak seperti pengulangan terjadwal (scheduled loops) alih-alih ritme manusia. Dan itu berarti menyadari bahwa pelanggaran besar berikutnya mungkin tidak dimulai dengan kata sandi yang terkompromi atau email phishing. Itu mungkin dimulai dengan satu klik yang tidak sengaja yang secara diam-diam mendelegasikan identitas Anda ke mesin yang tidak pernah tidur.