محققان امنیتی در Zenity Labs مجموعه‌ای از سه آسیب‌پذیری بحرانی را در سرویس Agentforce متعلق به شرکت Salesforce کشف کرده‌اند که تحت عنوان SalesBleed شناخته می‌شوند. این نقص‌های امنیتی به مهاجمان اجازه می‌داد تا از طریق تزریق دستورات غیرمستقیم (Indirect Prompt Injection)، عوامل هوش مصنوعی (AI Agents) را تسخیر کرده و داده‌های حساس CRM را بدون هیچ تعاملی از سوی کاربر (Zero-click) سرقت کنند.
مکانیزم حمله و استخراج داده‌ها
این زنجیره حمله با سوءاستفاده از فرم‌های Web-to-Lead آغاز می‌شود. مهاجم دستورات مخرب را در قالب یک Lead (سرنخ مشتری) قرار می‌دهد که تا زمانی که یک کارمند از Agentforce بخواهد آخرین Leadها را بررسی کند، غیرفعال می‌ماند. به محض پردازش این داده توسط AI Agent، دستورات پنهان اجرا شده و مراحل زیر طی می‌شود:
- استعلام جداول Accounts با استفاده از ابزار Query Records.
- استخراج فیلدهای حساس مانند نام شرکت یا مبلغ قرارداد.
- قرار دادن این داده‌ها به عنوان یک Subdomain در یک URL تحت کنترل مهاجم.
- ارسال این URL به صورت یک تگ
img srcکه باعث ارسال یک درخواست DNS به سرور مهاجم و در نتیجه نشت داده‌ها می‌شود.
دور زدن مکانیزم‌های حفاظتی
این حمله به دلیل ضعف در کنترل‌های Trusted URLs در Salesforce امکان‌پذیر بود. این مکانیزم قرار بود مقاصد خارجی را محدود کرده و لینک‌های نامعتبر را حذف (Redact) کند، اما محققان دریافتند که این سیستم قادر به شناسایی Hostnameهایی با پسوندهای ناشناخته (TLD) نیست و با افزودن برخی کاراکترهای خاص، فرآیند Parsing لینک‌ها مختل شده و فیلترها دور زده می‌شوند.
سوءاستفاده از ادغام با Slack و فیشینگ
علاوه بر سرقت داده‌ها، این آسیب‌پذیری‌ها در ترکیب با ادغام Salesforce و Slack، امکانات خطرناک‌تری را فراهم می‌کردند:
- استخراج داده از طریق Slack: به دلیل مکانیزم URL Unfurling در Slack، پیش‌نمایش لینک‌های مخرب باعث ارسال خودکار داده‌های CRM به سرور مهاجم می‌شد.
- فیشینگ ناشناس: به دلیل نبود کنترل‌های امنیتی در اکشن
Reply to a Slack Thread، مهاجمان می‌توانستند از هویت Agentforce برای ارسال لینک‌های فیشینگ به کاربران دیگر استفاده کنند، بدون اینکه نیاز به تایید کاربر باشد یا نام کاربر واقعی در پیام ظاهر شود.
نتیجه‌گیری و وضعیت فعلی
شرکت Salesforce پس از گزارش Zenity، تمامی این حفره‌های امنیتی را شناسایی و رفع کرد. با این حال، این مورد نشان‌دهنده یک چالش گسترده‌تر در امنیت AI Agents است؛ جایی که حتی با وجود Guardrailها، احتمال وجود Edge Caseهایی وجود دارد که منجر به خروج Agent از محیط Sandbox و دسترسی به داده‌های حساس شود.
