Un ricercatore ha mostrato che, in certe condizioni, un semplice link poteva indurre ChatGPT Workspace Agents a creare e attivare un agente AI malevolo all’interno dell’organizzazione della vittima. La vulnerabilità, battezzata AgentForger, è stata corretta da OpenAI l’8 giugno 2026, ma il caso è importante perché dimostra un rischio concreto: gli strumenti di AI aziendale possono trasformare un normale clic di phishing in un accesso persistente ai dati e ai flussi di lavoro interni.
Per un’impresa, il punto non è solo “la falla è stata chiusa”. Il vero tema è capire che gli agenti AI connessi a posta, documenti, chat e calendario ereditano fiducia, permessi e automazioni: se il controllo è debole, possono diventare un nuovo canale di attacco.
Che cosa è successo
Il 24 luglio 2026, The Hacker News ha riportato la divulgazione di una vulnerabilità critica individuata da Zenity Labs nei ChatGPT Workspace Agents di OpenAI. Secondo i ricercatori, il difetto avrebbe potuto consentire a un attaccante di inviare un unico link di phishing capace di creare, autorizzare e distribuire in modo nascosto un agente AI autonomo nell’ambiente aziendale della vittima.
La falla è stata chiamata AgentForger. OpenAI l’ha corretta l’8 giugno 2026, dopo una segnalazione responsabile.
L’elemento più interessante, e anche più preoccupante, riguarda il meccanismo dell’attacco: non si trattava di un malware tradizionale installato sul PC, ma di un abuso della logica di inizializzazione del builder degli agenti. In pratica, alcuni parametri inseriti nell’URL non venivano solo mostrati nell’interfaccia: venivano eseguiti automaticamente quando la pagina si apriva.
Come funzionava l’attacco
Il bersaglio riceveva un link apparentemente legittimo verso ChatGPT. Se l’utente era già autenticato e disponeva dell’accesso ai Workspace Agents, l’apertura del collegamento avviava il builder dell’agente nella sua sessione autenticata.
Secondo l’analisi di Zenity, il link poteva contenere:
- un modello di agente da usare come base;
- un prompt iniziale controllato dall’attaccante.
Il problema, secondo i ricercatori, era che quel prompt iniziale veniva inviato ed eseguito in automatico. In questo modo il builder poteva essere istruito a:
- creare un agente a partire da un template;
- collegare i connettori già autorizzati dall’utente;
- impostare le approvazioni in modo da non richiedere ulteriori conferme;
- pubblicare l’agente;
- programmarne l’esecuzione periodica;
- eseguirlo subito in modalità di anteprima.
Quest’ultimo dettaglio è cruciale. La modalità Preview non si limitava a simulare l’agente: lo faceva lavorare davvero sugli account e sui connettori collegati dalla vittima. In altre parole, l’anteprima diventava esecuzione operativa.
Perché il rischio era così serio
Questa vulnerabilità non riguardava solo la creazione di un agente indesiderato. Il punto critico era la combinazione tra tre fattori:
- l’utente autenticato;
- i connettori aziendali già autorizzati;
- l’automazione pianificata nel tempo.
Se queste condizioni erano presenti, l’agente malevolo poteva comportarsi come un insider persistente: operava con i permessi dell’utente, accedeva ai dati delle applicazioni collegate e restava attivo anche dopo la chiusura della finestra del browser.
Zenity ha descritto uno scenario in cui l’agente controllava periodicamente la posta della vittima, cercando email provenienti da un indirizzo specifico e con oggetto che iniziava con una determinata parola chiave. Ogni messaggio diventava un nuovo ordine da eseguire.
In pratica, dopo il primo clic non servivano altre interazioni dell’utente. L’agente restava in ascolto di istruzioni e poteva:
- raccogliere informazioni interne;
- cercare documenti sensibili nei sistemi cloud connessi;
- leggere contenuti su piattaforme di collaborazione;
- agire a nome della vittima nelle applicazioni collegate.
Il salto di qualità, rispetto al phishing classico, è evidente: non si punta solo a rubare una password, ma a installare un operatore automatico dentro il perimetro di fiducia dell’azienda.
I prerequisiti dell’attacco
L’attacco non era universale e richiedeva alcune condizioni precise. In base a quanto riportato, servivano:
- una vittima già connessa a ChatGPT;
- l’accesso della vittima ai Workspace Agents;
- almeno un connettore già autorizzato verso app aziendali come Outlook, Gmail, Google Calendar, Google Drive, Slack o Teams.
Questo aspetto è importante per valutare il rischio reale. Non qualunque dipendente era automaticamente esposto allo stesso modo: l’impatto cresceva con il livello di integrazione tra piattaforma AI e strumenti operativi aziendali.
Più l’agente aveva accesso a posta, chat, file e calendario, maggiore diventava il potenziale danno.
Un segnale chiaro per chi usa l’AI in azienda
Il caso AgentForger va oltre il singolo prodotto. Mostra un problema strutturale della nuova generazione di piattaforme AI: gli agenti non sono semplici chatbot, ma componenti che possono leggere dati, compiere azioni, programmare esecuzioni e interagire con altri sistemi.
Questo cambia il modello di rischio.
Nella sicurezza tradizionale, si proteggevano endpoint, email, server e account. Con gli agenti AI, bisogna proteggere anche:
- i flussi di autorizzazione;
- i connettori verso servizi terzi;
- le automazioni pianificate;
- la fiducia implicita che la piattaforma assegna a istruzioni e configurazioni.
Quando un agente può operare ogni ora, leggere la posta e usare integrazioni aziendali senza richiedere conferme, il problema non è più solo tecnico: diventa di governance.
Il contesto OpenAI: prodotto destinato al ritiro
La notizia arriva anche in un momento particolare per il prodotto coinvolto. Secondo quanto riportato nella fonte, OpenAI ha annunciato il ritiro del Builder con efficacia dal 30 novembre 2026, invitando gli utenti a passare agli Agents SDK.
Questo non riduce l’importanza dell’episodio, anzi. La transizione verso strumenti più evoluti rende ancora più urgente definire regole interne chiare su chi può creare agenti, quali connettori può usare e come vengono approvate le automazioni.
Cambiano le interfacce, ma il problema di fondo resta: se un agente ha accesso ai processi aziendali, va trattato come un componente critico.
Cosa significa per la tua azienda
Se nella tua organizzazione state sperimentando ChatGPT o altre piattaforme AI collegate a email, file, chat o calendario, il messaggio è semplice: non consideratele strumenti innocui solo perché hanno un’interfaccia conversazionale.
Ecco le azioni più utili, soprattutto per una PMI italiana.
1. Mappa chi può creare agenti e con quali permessi
Non tutti gli utenti devono poter costruire o pubblicare agenti. Verifica quali reparti hanno accesso agli strumenti di automazione AI e limita i privilegi ai soli casi necessari.
2. Rivedi i connettori già autorizzati
Le integrazioni con Outlook, Google Drive, Slack, Teams e servizi simili sono comode, ma allargano la superficie d’attacco. Conviene controllare periodicamente quali collegamenti sono attivi e rimuovere quelli inutilizzati.
3. Riduci le approvazioni permanenti
Impostazioni come “mai chiedere” o approvazioni molto permissive migliorano la produttività, ma riducono il controllo. Dove possibile, richiedi conferme per azioni sensibili o accessi a dati critici.
4. Tratta i link verso piattaforme AI come potenziali vettori di phishing
La formazione del personale deve includere anche i collegamenti a strumenti AI, non solo quelli verso banche, corrieri o portali Microsoft. Un link apparentemente interno o legittimo può innescare processi non visibili.
5. Sorveglia le automazioni pianificate
Ogni agente che gira a intervalli regolari dovrebbe essere inventariato: nome, proprietario, funzione, connettori usati, frequenza di esecuzione. Se un’automazione non ha un responsabile chiaro, è già un rischio.
6. Integra AI governance e sicurezza IT
Le decisioni sugli agenti non dovrebbero essere lasciate solo al singolo utente o reparto. Servono policy condivise tra direzione, IT e compliance, soprattutto se sono coinvolti dati personali o informazioni riservate. In questo ambito possono essere utili un supporto strutturato di sicurezza informatica e una verifica degli obblighi collegati al GDPR.
7. Prepara un piano di risposta
Se sospetti un uso improprio di agenti o connettori, devi poter intervenire rapidamente: revoca sessioni, disconnetti integrazioni, cambia credenziali, controlla i log e verifica eventuali esecuzioni pianificate. Anche una buona gestione continuativa delle postazioni e degli account, come nei servizi di desktop IT management, aiuta a ridurre i tempi di reazione.
La lezione più importante
AgentForger è stato corretto, ma lascia una lezione molto attuale: nella sicurezza dell’AI il rischio non nasce solo dal modello, ma dall’insieme di permessi, connettori, automazioni e fiducia implicita.
Per le aziende questo significa cambiare mentalità. Un agente AI collegato agli strumenti di lavoro non è un assistente neutro: è un attore operativo che può leggere, decidere ed eseguire. E se viene abusato, può farlo con la credibilità e i diritti di un dipendente reale.
Chi introduce l’AI in azienda senza regole di controllo rischia di spostare il problema della sicurezza da una semplice email di phishing a un’automazione persistente e difficilmente visibile.
Domande frequenti
La vulnerabilità è ancora attiva?
No. Secondo la fonte, OpenAI ha corretto il problema l’8 giugno 2026 dopo la segnalazione responsabile.
Bastava cliccare un link per essere compromessi?
Nello scenario descritto dai ricercatori, sì, ma solo se la vittima era già autenticata, aveva accesso ai Workspace Agents e disponeva di connettori già autorizzati.
Questo riguarda solo ChatGPT?
Il caso specifico riguarda ChatGPT Workspace Agents, ma il principio vale per molte piattaforme AI connesse a servizi aziendali: più automazione e integrazioni ci sono, più serve controllo sui permessi.