Una falla en Workspace Agents permitía crear agentes de IA maliciosos mediante un enlace de phishing. Una divulgación realizada por Zenity Labs, que explicó el alcance potencial del ataque.
Una vulnerabilidad crítica en ChatGPT Workspace Agents pudo permitir que ciberdelincuentes instalaran un agente de inteligencia artificial malicioso dentro del entorno de trabajo de una organización mediante un único enlace de phishing.
La falla, identificada como AgentForger por Zenity Labs, ya fue corregida por OpenAI el 8 de junio de 2026, tras un proceso de divulgación responsable.
¿Cómo funcionaba el ataque?
De acuerdo con la investigación, el ataque comenzaba cuando un empleado hacía clic en un enlace de ChatGPT que parecía legítimo. Sin que la víctima realizara acciones adicionales, el sistema podía crear y configurar automáticamente un agente de IA con los permisos que ese usuario ya había autorizado.
Zenity explicó que el problema se originaba porque la herramienta Agent Builder, diseñada para crear flujos de trabajo con IA mediante una interfaz visual, aceptaba instrucciones ocultas dentro de la propia dirección URL. Al abrir el enlace, esas instrucciones se ejecutaban automáticamente, lo que permitía al atacante configurar un agente sin el consentimiento explícito del usuario.
Para que el ataque funcionara, era necesario que la víctima estuviera conectada a ChatGPT, tuviera acceso a Workspace Agents y contara con al menos una integración previamente autorizada con aplicaciones empresariales, como Outlook, Gmail, Google Drive, Google Calendar, Slack o Teams.
Vulnerabilidad crítica en ChatGPT: así se mantenía activo el agente
Una vez creado, el agente podía configurarse para ejecutarse cada hora sin solicitar nuevas aprobaciones al usuario. Además, la investigación señala que el atacante podía programarlo para revisar correos específicos, ejecutar las tareas indicadas en esos mensajes y enviar los resultados directamente a una dirección de correo bajo su control
Incluso el agente permanecía activo después de que la víctima cerrara la página o dejara de interactuar con ella. Desde ese momento, el atacante solo necesitaba enviar nuevos correos con instrucciones para que el agente continuara realizando tareas automáticamente.
El alcance del riesgo para las organizaciones
Según Zenity, esta vulnerabilidad crítica en ChatGPT podía facilitar la recopilación de información dentro de la organización, el acceso a documentos almacenados en servicios en la nube y la búsqueda de información sensible presente en aplicaciones corporativas.
Asimismo, el agente podía utilizar la identidad de la víctima para enviar enlaces de phishing mediante Microsoft Teams y redirigir a otros empleados a una página falsa de inicio de sesión de Microsoft con el objetivo de obtener sus credenciales.
Los investigadores señalaron que el problema representaba una falla de confianza dentro de la plataforma, ya que el sistema asumía que el usuario había creado, aprobado y programado el agente de manera intencional.
El equipo de investigación de seguridad e inteligencia de amenazas indicó que este hallazgo se suma a investigaciones recientes sobre herramientas y servidores de inteligencia artificial mal configurados.
Según los especialistas, esa combinación de errores y configuraciones inseguras puede facilitar nuevas operaciones ofensivas, por lo que la corrección de la vulnerabilidad crítica en ChatGPT y reforzar los controles de seguridad resulta fundamental para reducir los riesgos en entornos empresariales.
