Досье forcedleak-agentforceПромпт-инъекцияСША
ForcedLeak: инъекция промпта через Web-to-Lead и просроченный домен за 5 долларов сливают CRM-данные Agentforce
Noma Security обнаружила, что инструкции в форме Web-to-Lead в сочетании с внесённым в белый список CSP доменом Salesforce, срок регистрации которого истёк и который стоил 5 долларов, позволяли Agentforce отправлять записи CRM злоумышленнику. Salesforce исправила проблему к 8 сентября 2025 года.
КритическаяАтака на ИИСтатус: ИсправленПроверенное досье
Открыть на интерактивной картеЦитировать это досье
- Дата сообщения
- 25 сен. 2025
- Локация
- США
- Цель
- Salesforce Agentforce
- Критичность
- Критическая
- Инициатор
- Noma Labs (Noma Security)
- Тип субъекта
- Исследователи безопасности
- Сектор
- Технологии и вендоры ИИ
- Заявленные убытки
- Не заявлены
- CVE
- Нет
Что произошло
Noma Security обнаружила, что инструкции в форме Web-to-Lead в сочетании с внесённым в белый список CSP доменом Salesforce, срок регистрации которого истёк и который стоил 5 долларов, позволяли Agentforce отправлять записи CRM злоумышленнику. Salesforce исправила проблему к 8 сентября 2025 года.
Последствия: Любая организация, использующая Agentforce с Web-to-Lead, была подвержена эксфильтрации CRM-данных; подтверждённых злоупотреблений нет
Кто стоит за инцидентом
Субъект: Noma Labs (Noma Security)
Атрибуция: Ответственное раскрытие в адрес Salesforce 28 июля 2025 года; Noma оценила уязвимость в 9,4 балла по CVSS
Мотив: Исследование безопасности
Как это произошло
Вектор атаки: Скрытые инструкции в поле Description формы Web-to-Lead; когда сотрудники запрашивают лиды, агент формирует запрос PNG с CRM-данными к просроченному домену my-salesforce-cms.com
Первопричина: Агент не мог отличить данные от инструкций, а Content Security Policy доверяла домену, которым Salesforce больше не владела
Хронология
- Noma сообщает Salesforce о ForcedLeak
- Salesforce развёртывает принудительное применение Trusted URL для Agentforce и Einstein
- Публичное раскрытие
Реагирование
Salesforce повторно зарегистрировала просроченный домен и ввела принудительное применение Trusted URLs, чтобы агенты не могли отправлять данные на недоверенные адреса
Текущий статус: Исправлен
Источники (открываются в новой вкладке)
- The Hacker News thehackernews.com
- Dark Reading darkreading.com
- Security Affairs securityaffairs.com
Цитировать это досье
ForcedLeak: инъекция промпта через Web-to-Lead и просроченный домен за 5 долларов сливают CRM-данные Agentforce. AI Threat Watch, досье forcedleak-agentforce, 25 сен. 2025. https://aithreat.io/ru/cases/forcedleak-agentforce/
Постоянная ссылка: https://aithreat.io/ru/cases/forcedleak-agentforce/