Kerentanan AgentForger ChatGPT Bisa Sebar Agen Workspace Jahat Lewat Link Phishing

Peneliti keamanan siber baru-baru ini mengungkap kerentanan kritis pada ChatGPT Workspace Agents milik OpenAI yang memungkinkan pelaku jahat menggunakan satu link phishing untuk membangun, mengotorisasi, dan menyebarkan agen kecerdasan buatan (AI) otonom secara diam-diam di dalam organisasi korban.

Kerentanan ini diberi kode nama AgentForger oleh Zenity Labs dan telah diperbaiki oleh OpenAI sejak 8 Juni 2026 setelah proses pelaporan yang bertanggung jawab.

"Satu link saja bisa membajak ChatGPT Agent Builder milik OpenAI untuk membentuk agen AI yang dikendalikan penyerang dengan akses pegawai asli dan persetujuan dimatikan," kata perusahaan keamanan AI tersebut dalam laporan dua bagian yang dibagikan kepada The Hacker News.

Bagaimana Kerentanan AgentForger Bekerja

Serangan terjadi saat seorang pegawai tanpa curiga mengklik link ChatGPT yang tampak biasa, yang kemudian memicu terbentuknya agen AI baru dalam batas kepercayaan perusahaan yang menjalankan perintah penyerang. Masalah ini merupakan kasus cross-site request forgery (CSRF) yang menyisipkan agen AI otonom milik pelaku.

Agent Builder adalah alat visual drag-and-drop yang memungkinkan pengguna membuat alur kerja agen multi-langkah. Bulan lalu, OpenAI mengumumkan akan menghentikan produk ini efektif 30 November 2026 dan menganjurkan pengguna beralih ke Agents SDK.

Menurut tes Zenity, alat Builder menerima inisialisasi status lewat parameter URL, termasuk template agen dan prompt untuk Builder.

"Saat halaman dimuat, nilai initial_assistant_prompt tidak sekadar dimasukkan ke kotak prompt, tapi langsung dikirim dan dijalankan," kata Mike Takahashi, Peneliti Red Team AI. "Instruksi yang disisipkan dalam URL bisa menjadi perintah pertama yang dieksekusi Builder."

Dengan prompt yang bisa disisipkan langsung ke URL, penyerang dapat mengirim link phishing dengan pola seperti: chatgpt[.]com/agents/studio/new?template_name=[nama template]&initial_assistant_prompt=[prompt berbahaya].

Jika korban yang sudah masuk (logged in) mengklik link tersebut, ChatGPT akan membuka Builder dalam sesi autentikasi korban dan otomatis menjalankan prompt berbahaya tanpa interaksi lebih lanjut. Namun, penyerang harus memenuhi beberapa prasyarat:

• Korban sedang masuk ke ChatGPT
• Korban memiliki akses ke Workspace Agents
• Korban mempunyai setidaknya satu konektor yang sudah terotorisasi, misalnya integrasi ChatGPT dengan aplikasi perusahaan seperti Outlook, Gmail, Google Calendar, Google Drive, Slack, atau Teams

Konektor ini penting karena URL berbahaya menggunakan template "chief-of-staff" yang memungkinkan agen mengambil data penting dari aplikasi workspace untuk membuat "briefing operasi bernilai tinggi."

Urutan Tindakan Agen Jahat yang Dibuat

1. Membuat agen dari template chief-of-staff
2. Menghubungkan semua konektor yang tersedia dan mengatur agar tidak meminta persetujuan lagi
3. Mengaktifkan agen dan menjadwalkannya berjalan setiap jam sebagai mekanisme persistensi
4. Memeriksa email dari alamat khusus dengan subjek "TASK" untuk menjalankan tugas dan mengirim hasilnya ke alamat email penyerang
5. Menjalankan mode Preview untuk segera mengaktifkan agen tersebut

Zenity menjelaskan, "Mode Preview seharusnya hanya untuk menguji agen sebelum dipublikasikan, tapi dalam kasus ini, Preview bukan sekadar simulasi visual. Agen baru tersebut langsung dieksekusi pada akun korban dengan pengaturan persetujuan yang sudah dibuat."

Dengan demikian, agen palsu itu menjadi operator persisten. Klik pertama memasangnya, jadwal membuatnya terus hidup, dan aplikasi terhubung memberikan sumber perintah, akses data sensitif, serta jalur mengirim hasil.

Agen ini dapat menyusup lebih dalam ke organisasi, melakukan pengintaian, mencuri dokumen dari penyimpanan cloud, dan bahkan mencuri kata sandi yang disebut di Slack. Ini menjadikannya "insider" otonom yang berbahaya.

Lebih parah lagi, agen workspace jahat bisa menyamar menjadi korban untuk mengirim link phishing melalui Teams, yang mengarah ke halaman login Microsoft palsu untuk mencuri kredensial. Ini membuka potensi kompromi yang lebih luas dan serangan BEC (business email compromise).

"Pelaku tidak perlu korban mengklik link lain. Tidak perlu tab Builder tetap terbuka. Setelah agen dipublikasikan dan dijadwalkan, pelaku bisa terus mengirim perintah lewat email korban. Setiap email TASK jadi tugas baru agen," jelas Takahashi.

Analisis Redaksi

Menurut pandangan redaksi, kerentanan AgentForger ini menunjukkan masalah mendasar pada kepercayaan platform terhadap pengguna yang seharusnya secara sadar membuat, menyetujui, dan mengoperasikan agen. Trust failure ini membuka celah eksploitasi yang sangat berbahaya, terutama di lingkungan perusahaan yang mengandalkan integrasi aplikasi dan otomatisasi AI.

Selain risiko langsung berupa pencurian data dan sabotase internal, eksploitasi ini menandai tren baru serangan siber yang memanfaatkan AI sebagai alat ofensif yang persisten dan terintegrasi dengan lingkungan kerja digital. Organisasi harus segera memeriksa pengaturan keamanan Workspace Agents dan mempertimbangkan langkah mitigasi seperti pelatihan kesadaran phishing dan pengawasan ketat terhadap akses aplikasi.

Ke depan, penting bagi OpenAI dan penyedia layanan AI lain untuk memperketat validasi dan otorisasi dalam fitur agen otomatis agar fungsi yang mempermudah pengguna tidak menjadi celah keamanan fatal. Pengguna dan perusahaan juga harus mengikuti perkembangan patch dan migrasi ke solusi yang lebih aman seperti yang dianjurkan OpenAI.

Temukan informasi lengkap dan update terkait kerentanan ini melalui laporan resmi Zenity Labs di The Hacker News dan pantau terus berita keamanan siber untuk melindungi organisasi Anda.