Μια νέα κρίσιμη ευπάθεια στην πλατφόρμα Agentforce της Salesforce μπορεί να παραπλανήσει τον AI agent και να τον κάνει να διαρρεύσει ευαίσθητα δεδομένα CRM μέσω έμμεσου prompt injection. Οι ερευνητές της Noma Security, που εντόπισαν το σφάλμα με την ονομασία “ForcedLeak“, ανέφεραν ότι θα μπορούσε να αξιοποιηθεί από επιτιθέμενους που εισάγουν κακόβουλες οδηγίες σε ένα routine customer form. Η Salesforce διόρθωσε το πρόβλημα μετά την αποκάλυψη, αλλά οι ερευνητές της Noma πιστεύουν ότι οι επιπτώσεις υπερβαίνουν κατά πολύ αυτές ενός απλού σφάλματος.
Από αθώα φόρμα σε πλήρη κλοπή δεδομένων
Η διαδρομή επίθεσης που αποκάλυψε η Noma ήταν παραπλανητικά απλή. “Φυτεύοντας” κακόβουλο κείμενο μέσα στη φόρμα Web-to-Lead της Salesforce, που χρησιμοποιείται συνήθως σε καμπάνιες μάρκετινγκ, οι ερευνητές διαπίστωσαν ότι ένας AI agent (Agentforce) που έπρεπε να εξετάσει τις υποβολές, μπορούσε να παρασυρθεί να εκτελέσει οδηγίες που δεν προορίζονταν ποτέ για αυτόν. Το πεδίο περιγραφής, με την επιτρεπόμενη χωρητικότητα των 42.000 χαρακτήρων, παρείχε αρκετό χώρο για να κρυφτούν multi-step payloads μεταμφιεσμένα ως αθώα επιχειρηματικά αιτήματα.
Δείτε επίσης: Ευπάθεια στο NVIDIA Merlin επιτρέπει εξ’ αποστάσεως εκτέλεση κώδικα
Μόλις ένας υπάλληλος αλληλεπιδράσει με τα δεδομένα και ζητήσει από το Agentforce να τα επεξεργαστεί, το σύστημα εκτελεί υπάκουα τόσο το πραγματικό αίτημα όσο και το κρυφό script του επιτιθέμενου. Ακόμα χειρότερα, η πολιτική ασφάλειας περιεχομένου της Salesforce περιελάμβανε ένα ληγμένο domain που εξακολουθούσε να βρίσκεται στη λίστα επιτρεπόμενων. Με την επανεγγραφή του domain για μόλις 5 δολάρια, οι ερευνητές δημιούργησαν ένα αξιόπιστο κανάλι εξαγωγής δεδομένων, μετατρέποντας μια μικρή παράβλεψη σε μια μεγάλη τρύπα ασφαλείας.
“Το έμμεσο Prompt Injection είναι ουσιαστικά cross-site scripting, αλλά αντί να παραπλανήσουν μια βάση δεδομένων, οι επιτιθέμενοι κάνουν το ίδιο με την ενσωματωμένη AI“, δήλωσε ο Andy Bennet, CISO στην Apollo Information Systems. “Είναι σαν ένας συνδυασμός scripted επιθέσεων και κοινωνικής μηχανικής. Η καινοτομία είναι εντυπωσιακή και οι επιπτώσεις δυνητικά συγκλονιστικές“.
Η Salesforce διόρθωσε αυτό το σφάλμα στις 8 Σεπτεμβρίου 2025, επιβάλλοντας “Trusted URL allowlists” για το Agentforce. Αν και η εταιρεία δεν απέδωσε άμεσα τα εύσημα στη Noma για την εύρεση, περιλάμβανε μια σχετική περιγραφή. “Οι υποκείμενες υπηρεσίες μας που τροφοδοτούν το Agentforce θα επιβάλλουν το Trusted URL allowlist για να διασφαλίσουν ότι δεν θα καλούνται ή θα δημιουργούνται κακόβουλοι σύνδεσμοι μέσω πιθανού prompt injection“, είχε δηλώσει.
Δείτε επίσης: Ευπάθειες στο BMC επιτρέπουν παράκαμψη του Signature Verification
Προστατευτικά μέτρα, όχι μόνο διορθώσεις
Ενώ η Salesforce αντέδρασε γρήγορα με μια διόρθωση, οι ειδικοί συμφωνούν ότι οι AI agents αντιπροσωπεύουν μια θεμελιωδώς ευρύτερη επιφάνεια επίθεσης. Αυτά τα συστήματα συνδυάζουν μνήμη, λήψη αποφάσεων και εκτέλεση εργαλείων, πράγμα που σημαίνει ότι οι παραβιάσεις μπορούν να εξαπλωθούν γρήγορα και, όπως το θέτει ο Bennet, “με ταχύτητα μηχανής“.
“Είναι σκόπιμο να ασφαλίζονται τα συστήματα γύρω από τους AI agents που χρησιμοποιούνται, τα οποία περιλαμβάνουν APIs, φόρμες και middleware, ώστε η έγχυση προτροπών να είναι πιο δύσκολη στην εκμετάλλευση και λιγότερο επιβλαβής αν επιτύχει“, δήλωσε η Chrissa Constantine, ανώτερη αρχιτέκτονας λύσεων κυβερνοασφάλειας στην Black Duck. Τόνισε ότι η πραγματική πρόληψη απαιτεί όχι μόνο διόρθωση αλλά “διατήρηση της διαμόρφωσης και καθιέρωση προστατευτικών μέτρων γύρω από το σχεδιασμό του πράκτορα, την αλυσίδα εφοδιασμού λογισμικού, τη δοκιμή εφαρμογών ιστού και API“.
Δείτε επίσης: Hackers εκμεταλλεύονται zero-day ευπάθεια στο Cisco IOS
Οι ερευνητές της Noma επανέλαβαν αυτή την έκκληση, προτρέποντας τις οργανώσεις να αντιμετωπίζουν τους AI agents σαν συστήματα παραγωγής, καταγράφοντας κάθε agent, επικυρώνοντας τις εξερχόμενες συνδέσεις, καθαρίζοντας τις εισόδους πριν φτάσουν στο μοντέλο και επισημαίνοντας οποιαδήποτε πρόσβαση σε ευαίσθητα δεδομένα ή έξοδο στο διαδίκτυο.
Συνιστάται sanitization του εξωτερικού input πριν το δει ο agent, σύμφωνα με τον Elad Luz, επικεφαλής έρευνας στην Oasis Security. “Αντιμετωπίστε το ελεύθερο κείμενο από φόρμες επικοινωνίας ως μη αξιόπιστο input. Χρησιμοποιήστε ένα input mediation layer για να εξάγετε μόνο τα αναμενόμενα πεδία, να αφαιρέσετε/εξουδετερώσετε οδηγίες, συνδέσμους και σήμανση και να αποτρέψετε το μοντέλο από το να ερμηνεύσει το περιεχόμενο του χρήστη ως εντολές (αντοχή στο prompt-injection)“.
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
