پژوهشگران امنیتی زنجیره‌ای از آسیب‌پذیری‌ها با نام SalesBleed را در سرویس Agentforce متعلق به شرکت Salesforce شناسایی کرده‌اند. این نقص امنیتی به مهاجمان اجازه می‌دهد تا از طریق یک تکنیک Indirect Prompt Injection که در فرم‌های عمومی Web-to-Lead تعبیه شده است، داده‌های حساس CRM را استخراج کنند.
مکانیزم حمله و زنجیره بهره‌برداری
این حمله به صورت Zero-Click عمل می‌کند، به این معنا که نیازی به ورود به حساب کاربری Salesforce یا کلیک کاربر قربانی ندارد. فرآیند حمله به شرح زیر است:
- تزریق دستورات: مهاجم دستورات مخرب را در فیلدهای یک فرم عمومی Web-to-Lead (که برای جذب مشتریان بالقوه بدون نیاز به احراز هویت است) قرار می‌دهد.
- ذخیره‌سازی در CRM: این دستورات در رکورد مربوط به Lead ذخیره شده و تا زمان بررسی توسط یک کاربر داخلی، غیرفعال می‌مانند.
- فعال‌سازی توسط کاربر: زمانی که یک کارمند از Agentforce بخواهد آخرین Leadها را بررسی کند، مدل AI دستورات مخفی را به عنوان فرمان اجرا کرده و از قابلیت Query Records برای دسترسی به اشیاء دیگر CRM (مانند جدول Accounts) استفاده می‌کند.
استخراج داده‌ها از طریق DNS Exfiltration
در سناریوی اثبات مفهوم (PoC)، دستورات تزریق شده باعث می‌شوند Agentforce داده‌هایی نظیر نام حساب‌ها و حجم معاملات را بازیابی کرده و آن‌ها را در قالب یک Subdomain در یک URL کدگذاری کند. سپس این URL در یک تگ تصویر HTML قرار می‌گیرد. به محض اینکه رابط کاربری Agentforce سعی می‌کند تصویر را رندر کند، یک درخواست DNS Resolution به سمت سرور مهاجم ارسال می‌شود و داده‌ها بدون نیاز به برقراری اتصال HTTP، از محیط سازمان خارج می‌شوند.
دور زدن مکانیزم‌های دفاعی
پژوهشگران آزمایشگاه Zenity توانستند مکانیزم Trusted URLs و فیلترهای بازبینی URL شرکت Salesforce را دور بزنند. این کار از طریق ایجاد تضاد بین نحوه تجزیه (Parsing) URL توسط سیستم بازبینی و نحوه رندر آن توسط مرورگر انجام شد؛ به طوری که رشته URL برای فیلترها نامعتبر به نظر می‌رسید اما مرورگر همچنان برای Resolve کردن Hostname تلاش می‌کرد.
تاثیرات و اقدامات اصلاحی
این آسیب‌پذیری نشان‌دهنده یک الگوی تکراری در امنیت AI است: ترکیب محتوای ورودی خارجی، دسترسی‌های گسترده ابزارهای AI و کانال‌های ارتباطی خروجی. Salesforce اعلام کرده است که مکانیزم‌های آسیب‌دیده را تقویت کرده و هیچ شواهدی از بهره‌برداری واقعی (In the wild) از این نقص مشاهده نشده است. همچنین تنظیمات پیش‌فرض برای برخی اکشن‌های Agentforce در Slack به‌گونه‌ای تغییر یافته که پیش از ارسال پیام، نیاز به تایید کاربر داشته باشد.
