Baptisée AgentForger, une faille aujourd’hui corrigée permettait de transformer, via un simple lien, n’importe quel agent IA détourné des Workspace Agents d’OpenAI en un outil d’espionnage capable d’agir toutes les cinq minutes pour le compte d’un attaquant. La vulnérabilité, découverte par la société de recherche en sécurité Zenity Labs, vient de faire l’objet d’une divulgation détaillée — même si OpenAI l’avait déjà corrigée fin juin 2026.
Un lien suffisait à créer un agent malveillant
Zenity Labs a identifié le problème dans deux paramètres d’URL de l’Agent Builder d’OpenAI, template_name et initial_assistant_prompt. En cliquant sur un lien manipulé, une victime créait et publiait sans le savoir un agent autonome, qui héritait automatiquement de ses permissions sur des applications déjà connectées comme Outlook, Gmail ou Slack.
Le défaut de conception était simple mais lourd de conséquences : l’Agent Builder traitait le paramètre initial_assistant_prompt comme une instruction à exécuter directement, et non comme une saisie utilisateur à faire valider. Un attaquant pouvait ainsi désactiver toutes les demandes de confirmation via ce seul lien, puis programmer l’agent pour vérifier sa propre boîte de réception toutes les cinq minutes à la recherche d’instructions contenant le mot « TASK ».
Reconnaissance interne, vol de documents, phishing interne
Dans sa démonstration, Zenity Labs a montré que l’agent détourné pouvait mener une reconnaissance complète de l’organisation de la victime, extraire des documents sensibles, repérer des identifiants partagés sur Slack, puis lancer des campagnes de compromission de messagerie professionnelle ou de phishing en usurpant l’identité de la victime.
Une correction rapide, mais un risque révélateur
OpenAI a confirmé le signalement le 5 juin 2026 et corrigé la faille dès le 8 juin, en supprimant le paramètre d’URL concerné — une réactivité saluée par Zenity Labs. Toute organisation ayant activé des connecteurs d’entreprise sur ChatGPT Workspace Agents restait toutefois exposée jusqu’à ce correctif.
Ce n’est pas un cas isolé : les plateformes d’agents IA, qu’il s’agisse de celles d’OpenAI, de Google ou d’Anthropic, multiplient les connecteurs vers les outils professionnels (messagerie, agenda, stockage de fichiers) pour rendre leurs agents plus utiles au quotidien. Chaque nouveau connecteur élargit toutefois la surface d’attaque, et des chercheurs en sécurité comme ceux de Zenity Labs se sont spécialisés dans la traque de ce type de faille de détournement de paramètres.
L’épisode illustre un problème structurel des plateformes d’agents IA : plus un agent hérite de permissions étendues sur les outils internes d’une entreprise, plus une faille de conception, même mineure en apparence, peut avoir des conséquences disproportionnées.
Détails complets sur The Decoder.
Qu’est-ce que la faille AgentForger ?
AgentForger est une vulnérabilité découverte par Zenity Labs dans l’Agent Builder d’OpenAI, qui permettait à un simple lien manipulé de créer un agent IA autonome héritant des permissions de la victime sur des outils comme Gmail ou Slack.
La faille AgentForger est-elle encore active ?
Non, OpenAI a confirmé le signalement le 5 juin 2026 et corrigé la faille dès le 8 juin 2026 en supprimant le paramètre d’URL vulnérable.
Que pouvait faire un agent IA détourné via cette faille ?
L’agent détourné pouvait mener une reconnaissance de l’organisation, extraire des documents sensibles, repérer des identifiants sur Slack et lancer des campagnes de phishing interne en usurpant l’identité de la victime.