Salesforce Agentforce 發現漏洞，遭駭客利用「零點選」竊取 CRM 資料並傳送釣魚訊息
為何重要
此事件揭露了當前 AI Agent 在「沙盒隔離」與「輸出安全控制」上仍存在重大短板，即便具備「由設計安全」與輸入過濾，複雜的真實世界互動場景仍可能導致不可預期的越權行為（例如資料洩漏、假冒發言）。這暗示投資人與開發者需重新評估 Agent 在關鍵業務流程中的部署風險，並要求供應商提供更高強度的審計報告與修補機制。
安全研究公司 Zenity Labs 發現 Salesforce Agentforce 中的三個連環漏洞（SalesBleed），攻擊者可藉由已洩漏的 Web-to-Lead 表單植入惡意指令，導致 AI Agent 在無需使用者互動的情況下，自動執行資料庫查詢、將 stolen CRM data 嵌入圖片標籤傳送給攻擊者伺服器，甚至能利用 Slack 整合缺陷以 Agent 身份傳送匿名釣魚郵件。
- 主要漏洞涉及 Trusted URLs 控制機制失效，無法正確阻擋未知頂層網域或特定字元，導致瀏覽器渲染 HTML img src 標籤時未中斷連往攻擊者伺服器的請求。
- 攻擊鏈起始於公開表單的提示注入，一旦員工詢問 Agentforce 該如何「檢視最新線索」，Agent 便會依序執行查詢 Accounts 資料表、提取欄位資料、拼湊惡意字串，並觸發外部 DNS 查詢來完成資料外洩。
- Slack 回覆指令功能缺乏使用者確認與身份顯示，任何內部使用者或外部駭客都能透過已植入的惡意指令，讓 Agent 以自身身份在 Slack 傳送釣魚連結。
- Zenity Labs 於 6 月 1 日通報漏洞，Salesforce 承諾於 6 月 2 日開始修復，研究人員亦在 8 月 19 日確認 URL 繞過漏洞的修復，並於 9 月 21 日確認所有三個漏洞均已修正。