Salesforce、Agentforceに脆弱性。0クリックでCRM流出

AIエージェントのセキュリティ企業Zenity Labsは、SalesforceのAIエージェント「Agentforce」に3件の脆弱性を発見し、総称して「SalesBleed」と名付けた。Salesforceと協力してすでに修正されており、報告された攻撃手順は現在は通用しない。

最初の2件は、誰でも送れる公開のリードフォームをデータ流出の入口に変えるものだ。攻撃者はフォーム経由で、隠した指示（間接プロンプトインジェクション）をSalesforce内に仕込む。社員がエージェントに「最新のリードを確認して」と頼むと、エージェントが汚染されたリードを読み込んで指示を実行し、取引先テーブルから会社名や案件規模を取り出す。その値を攻撃者のドメインのサブドメインに埋め込んだ画像タグとして返すと、画面が画像を読みに行った時点で、DNS問い合わせを通じてデータが外に出る。社員は何もクリックしていない。

本来は、信頼できないURLを伏せる仕組みがこれを止めるはずだった。しかしZenityは、未知のトップレベルドメインで終わるホスト名が対象外になることと、特定の文字を加えるとURLの解析が乱れることを突き、この仕組みを回避した。Slackでエージェントを使う場合も、リンクのプレビュー生成が自動でリクエストを出すため、同様にクリック不要で流出が起きたという。

3件目は、AgentforceからSlackにメッセージを送る機能に関するものだ。送信前にユーザーの確認を求めず、誰が呼び出したかも表示されなかった。そのため、社内の悪意ある利用者や外部の攻撃者が、信頼されたエージェントの名義で匿名のままフィッシングリンクを送れた。

Zenityは、外部から入ってくるレコードを読み、リンクや画像を利用者に返し、機密データにアクセスできる道具を持つ。この3つがそろったエージェントには、製品を問わず同じ危険があると指摘する。同社CTOのMichael Bargury氏は、設計段階で安全を作り込むだけでは足りず、実際の環境でエージェントが何をしているかを監視し続ける必要があると述べている。