Salesforce Agentforce: публичная форма лидов повлияла на работу ИИ-агента

Злоумышленник отправлял специально подготовленный лид через штатную форму Web-to-Lead, и вредоносная инструкция сохранялась в CRM как обычная запись. Когда сотрудник позднее просил Agentforce обработать этот лид, агент читал внедрённый текст как часть задания и мог обращаться к другим записям в пределах прав пользователя.

Проверка Trusted URLs некорректно обрабатывала некоторые доменные зоны и специальные последовательности символов, поэтому фильтр можно было обойти. После этого агент встраивал данные из таблиц Leads и Accounts в адрес изображения, и при его загрузке браузер автоматически отправлял их на сервер атакующего.

Второй вариант переносил утечку в Slack, где мессенджер сам обращается к ссылкам для формирования превью. Третья проблема касалась действия Reply to a Slack Thread, которое позволяло публиковать сообщения без подтверждения и без указания, кто их инициировал.

#salesforce #agentforce #promptinjection #уязвимость

@ZerodayAlert