پژوهشگران امنیتی مجموعه‌ای از نقاط ضعف در سرویس Agentforce متعلق به شرکت Salesforce را کشف کرده‌اند که تحت عنوان Salesbleed شناخته می‌شود. این آسیب‌پذیری‌ها به مهاجمان اجازه می‌دهد تا با سوءاستفاده از قابلیت‌های هوش مصنوعی عامل‌محور (Agentic AI)، داده‌های داخلی سازمان‌ها را استخراج کرده و از طریق کانال‌های ارتباطی مورد اعتماد، حملات فیشینگ را علیه کارکنان اجرا کنند.
مسیر حمله: از فرم‌های وب تا پیام‌های داخلی
این زنجیره حمله از فرم‌های Web-to-lead آغاز می‌شود؛ نقاط ورودی در وب‌سایت‌ها که سازمان‌ها برای جذب مشتریان بالقوه، داده‌های ارسالی کاربران ناشناس را می‌پذیرند. مهاجمان به جای ارسال اطلاعات معمولی، دستورات مخرب (Malicious Prompts) را در این فرم‌ها قرار می‌دهند. اگر سازمان هدف از Agentforce استفاده کند، عامل هوش مصنوعی این دستورات را پردازش کرده و در محیط داخلی شرکت اجرا می‌کند.
تبدیل دسترسی به ابزار فیشینگ در Slack
یکی از خطرناک‌ترین جنبه‌های Salesbleed، ترکیب این نقص با گردش‌کارهای Slack است. بسیاری از سازمان‌ها عامل‌های Salesforce را مستقیماً در Slack مستقر می‌کنند. پژوهشگران Zenity دریافتند که در حالی که برای بسیاری از اقدامات حساس، تایید کاربر (User Confirmation) لازم است، اما قابلیت پاسخ دادن به رشته‌گفتگوها (Threads) در Slack فاقد این کنترل‌ها بود.
- جعل هویت: مهاجم می‌تواند عامل هوش مصنوعی را مجبور کند تا پیامی حاوی لینک فیشینگ را در یک کانال داخلی Slack ارسال کند.
- اعتماد کاذب: به دلیل نبود سیستم انتساب (Attribution) دقیق، این پیام‌ها به گونه‌ای به نظر می‌رسند که گویی توسط یک کارمند واقعی یا تیم پشتیبانی IT ارسال شده‌اند.
- دور زدن فیلترها: مهاجمان توانستند با روش‌های دور زدن (Workarounds)، سیستم‌های فیلترینگ URL قبلی Salesforce را اثر کنند.
پاسخ Salesforce و اقدامات اصلاحی
شرکت Salesforce ضمن تایید این آسیب‌پذیری‌ها (که فعلاً شماره CVE ندارند)، اعلام کرد که شواهدی از سوءاستفاده واقعی از آن‌ها در محیط عملیاتی مشاهده نشده است. اقدامات اصلاحی این شرکت شامل موارد زیر است:
- تغییر تنظیمات پیش‌فرض: اکنون برای ارسال پیام‌ها توسط Agentforce در Slack، تایید کاربر الزامی شده است.
- بهبود تحلیل URL: جایگزینی سیستم تطبیق مبتنی بر Regular Expression (Regex) با یک سیستم Parsing استاندارد و دقیق‌تر برای شناسایی URLهای مخرب.
- متمرکز کردن بازرسی: ایجاد یک Gateway واحد برای تمامی ترافیک‌های مرتبط با URL در گردش‌کارهای هوش مصنوعی جهت اعمال قوانین امنیتی یکپارچه.
چالش‌های ساختاری در AI Agents
کارشناسان هشدار می‌دهند که مشکل Salesbleed تنها یک باگ ساده نیست، بلکه نشان‌دهنده یک چالش ساختاری در پلتفرم‌های Agentic AI است. هرچه قدرت بیشتری به این عامل‌ها داده شود (مانند دسترسی همزمان به داده‌های حساس مالی و کانال‌های ارتباطی خارجی)، سطح خطر افزایش می‌یابد. همچنین، ماهیت «جعبه سیاه» (Black Box) این سیستم‌ها باعث می‌شود که SOC Managerها و تیم‌های امنیتی نتوانند منطق تصمیم‌گیری عامل‌ها را رصد کرده و لاگ‌های دقیقی از اقدامات آن‌ها استخراج کنند.
