Badacze bezpieczeństwa zwracają uwagę na poważną lukę w jednym z narzędzi OpenAI, które miało ułatwiać tworzenie własnych agentów AI. W praktyce okazało się, że zamiast pomocnego asystenta użytkownik mógł nieświadomie uruchomić złośliwego agenta działającego na korzyść atakującego. To pokazuje, że nawet rozwiązania projektowane z myślą o automatyzacji pracy mogą stać się wejściem dla cyberprzestępców.
Szczególnie niepokojące jest to, że do przeprowadzenia ataku wystarczał pojedynczy klik w odpowiednio przygotowany link. Taki mechanizm przypomina phishing, ale ma znacznie większy potencjał szkód, ponieważ nie kończy się na kradzieży danych logowania czy przekierowaniu na fałszywą stronę. W tym przypadku atak mógł prowadzić do trwałego przejęcia działania agenta AI w środowisku firmy.
Czym był problem w ChatGPT Agent Builder
Lukę wykryli badacze z Zenity Labs, którzy opisali ją pod nazwą AgentForger. Problem dotyczył ChatGPT Agent Buildera, czyli funkcji pozwalającej tworzyć spersonalizowane agenty wykonujące określone zadania. Według badaczy źródłem kłopotu był zbyt liberalnie działający parametr URL, który umożliwiał przekazywanie praktycznie dowolnych instrukcji.
W efekcie cyberprzestępca mógł przygotować link wyglądający jak zwykła wiadomość lub zaproszenie, a po kliknięciu przez ofiarę instrukcje trafiały bezpośrednio do narzędzia budującego agenta. Co istotne, cały proces odbywał się bez dodatkowego potwierdzenia i bez ostrzeżenia użytkownika. To oznacza, że ofiara mogła nie mieć świadomości, iż właśnie uruchomiła coś złośliwego.
To dobry przykład tego, jak pozornie wygodna automatyzacja może stać się słabym punktem całego systemu. W praktyce bezpieczeństwo agentów AI zaczyna się od bardzo rygorystycznego ograniczania tego, skąd mogą pochodzić polecenia. Bez takich zabezpieczeń nawet prosty link może uruchomić groźny scenariusz.
Dlaczego taki atak jest groźniejszy niż zwykły phishing
W klasycznym phishingu celem jest najczęściej wyłudzenie hasła, danych karty albo skłonienie użytkownika do pobrania złośliwego pliku. Tutaj skala ryzyka jest inna, bo atakujący nie tylko zwodzi człowieka, ale próbuje przejąć samego agenta AI. Taki agent może mieć dostęp do firmowych maili, raportów, plików czy innych zasobów, z których korzysta w codziennej pracy.
Jeżeli złośliwy agent zostanie uruchomiony, może działać długo po kliknięciu przez ofiarę. Oznacza to, że przestępca nie musi już stale utrzymywać kontroli nad samą ofiarą — wystarczy, że agent będzie wykonywał polecenia w tle. W praktyce może to prowadzić do wycieku poufnych informacji lub innych działań, które normalnie byłyby zarezerwowane dla legalnych automatyzacji.
Problem zaufania do agentów AI
Badacze zwrócili uwagę, że to nie jest zwykły błąd techniczny, lecz raczej problem zaufania do całej architektury agentów. Jak podkreślił Michael Bargury z Zenity, istniejące zabezpieczenia nie były projektowane z myślą o tego rodzaju scenariuszu. Tradycyjne mechanizmy ochronne dobrze radzą sobie z linkami phishingowymi czy złośliwym oprogramowaniem, ale gorzej z nadużywaniem uprawnień nadawanych agentom AI.
To ważny sygnał dla firm, które coraz chętniej wdrażają rozwiązania oparte na sztucznej inteligencji. Automatyzacja zwiększa wygodę i oszczędza czas, ale jednocześnie rozszerza powierzchnię ataku. Im więcej zadań powierzamy agentom, tym bardziej krytyczne staje się sprawdzanie, skąd pochodzą polecenia i co dokładnie mogą one zrobić.
Reakcja OpenAI i usunięcie luki
Zenity Labs przekazało swoje ustalenia OpenAI na początku czerwca 2026 roku. Firma zareagowała stosunkowo szybko i po kilku dniach opublikowała poprawkę. Z problemem poradzono sobie poprzez usunięcie parametru URL, który wcześniej umożliwiał przeprowadzenie ataku.
Według dostępnych informacji nie ma dowodów na to, aby luka była wcześniej wykorzystywana przez przestępców na szeroką skalę. To dobra wiadomość, choć sama podatność pokazuje, jak łatwo nawet zaawansowane narzędzia AI mogą zostać wykorzystane w niezamierzony sposób. W praktyce oznacza to również, że bezpieczeństwo agentów AI będzie musiało być projektowane znacznie ostrożniej niż dotychczas.
Co z tego wynika dla firm i użytkowników
Ten incydent jest kolejnym przypomnieniem, że sztuczna inteligencja nie jest odporna na klasyczne techniki socjotechniczne. Wręcz przeciwnie — tam, gdzie agent może wykonywać polecenia automatycznie, atakujący zyskuje nowy wektor nadużycia. Wystarczy dobrze przygotowany link, by użytkownik stał się nieświadomym uruchamiającym złośliwy proces.
Dla firm oznacza to konieczność większej ostrożności przy wdrażaniu narzędzi AI i dokładniejszego monitorowania tego, jakie dane przetwarzają oraz jakie mają uprawnienia. Dla zwykłych użytkowników to z kolei przypomnienie, by nie ufać bezrefleksyjnie linkom, nawet jeśli wyglądają profesjonalnie. W świecie agentów AI jeden klik może mieć znacznie większe konsekwencje niż dotąd.
Czekałem na to od lat! Wreszcie ktoś zwraca uwagę na te luki w zabezpieczeniach. Tylko szkoda, że dopiero jak pojawią się poważne problemy. Musimy być bardziej świadomi tego, co robimy z AI. Kto wie, ile jeszcze takich błędów w systemie?
Zobaczcie, jakie są konsekwencje! Przejęcie agenta AI może być katastrofalne dla firm. Ciekawe, czy OpenAI w końcu przejmie odpowiedzialność za te kwestie. Każdy chce łatwej automatyzacji, ale nikt nie myśli o bezpieczeństwie…
Zgadzam się, że ten typ ataku jest groźny, ale może to też nieco przesadzone. Nie zapominajmy, że takie luki są w większości narzędzi. Ktoś powie, że to AI, a ja widzę po prostu kolejną lukę wykrytą w oprogramowaniu.
Miałem okazję korzystać z tego ChatGPT Agent Buildera i muszę przyznać, że mimo tej luki to narzędzie ma ogromny potencjał. Poza tym, ryzyko zawsze istnieje, im więcej korzyści z automatów, tym większa okazja dla hakerów.
A co z innymi platformami AI? Czy można się spodziewać, że to chociaż OpenAI wdroży lepsze zabezpieczenia w przyszłości? Bez tego to wszystko może być tylko działanie na krótką metę. Myślę, że duże firmy powinny bardziej inwestować w bezpieczeństwo.
Mam pytanie! Czy ten złośliwy agent może wyrządzić szkody w aplikacjach, które są już wdrożone, czy to tylko dotyczy tych, które są tworzene na nowo? Czy OpenAI zapewnia jakieś dodatkowe zabezpieczenia w tej sprawie?
Strasznie niepokojące, jakie ryzyko niesie ze sobą korzystanie z AI. To, że człowiek musi ciągle uważać, gdzie klika, jest szalone. Pożegnajcie się z zaufaniem wobec automatyzacji – teraz to „klikanie” staje się tak samo ryzykowne, jak otwieranie linków w wiadomościach email.