OpenClaw—AI研究2026年7月23日，安全公司Zenity Labs公开了一个名为AgentForger的漏洞，它影响OpenAI的ChatGPT工作区智能体。研究者发现，攻击者只需诱导受害者点击一条精心构造的链接，就能在其ChatGPT工作区内悄然建立一个完全受控的自治智能体，全程无需恶意软件，也不需要窃取口令或诱导新的授权确认。
问题出在智能体构建器对网址参数的处理上。该页面接受模板选择与初始提示词两个参数，并把它们当作可信、可自动执行的输入，而非未经校验的用户数据。攻击者可借此选中权限最高的模板，在提示词中命令智能体接入受害者此前已授权的各类连接器，关闭写入操作的审批环节，并设置每五分钟触发一次的循环任务。
由于受害者只是登录了ChatGPT、并且此前正常使用过至少一个连接器，点击链接不会弹出新的授权页面。整个过程没有令牌或会话劫持，攻击完全依托受害者本人合法登录的会话完成。研究者Mike Takahashi认为，这是经典跨站请求伪造的演进：被伪造的不再是单次请求，而是一个会长期运行、持续接收指令的常驻智能体。
一旦建立，这个智能体便以受害者的身份和权限，在企业系统内扮演起持久化的“内部人员”。其可触达的范围包括Outlook、Gmail、Slack、Teams、SharePoint与Google Drive。公司联合创始人Michael Bargury形容，这相当于把一个拥有员工身份与访问权限、却没有任何护栏的自治智能体放进了公司内部。
在受控实验环境中，研究者演示了四种攻击场景。智能体先是通过Teams发送内部消息，把收件人引向伪造的微软单点登录页面以收割凭据；随后检索Slack历史记录，把包含口令片段的聊天整理成表格以便外传。它还起草了一份金额为242500美元的转账审批请求，并利用日历邀请把社会工程延伸到同事更易信任的渠道。
Zenity于2026年6月4日通过Bugcrowd向OpenAI报告该问题，OpenAI在一天内确认，并于6月8日通过移除存在缺陷的网址参数完成了修复，前后约四天，没有证据显示该手法在被修复前遭到实际利用。由于修复属于服务端配置变更而非版本化补丁，该漏洞没有被分配CVE编号。
这起事件重新定义了智能体时代“内部威胁”的含义。伪造出的智能体继承了真实员工的权限，因此改口令、多因素认证与终端检测等常规账号防护手段都不会报警。研究者建议企业把AI智能体当作独立、可审计的身份来治理，收紧连接器权限，并对高频循环任务和异常检索行为建立专门的监测。