Onderzoekers ontdekten twee aanvalsketens in Salesforce Agentforce. Agentforce kon misbruikt worden om CRM-data te laten uitlekken en om phishingberichten in Slack te plaatsen.
De kwetsbaarheden steunden op indirecte promptinjectie. Daarbij verbergt een aanvaller instructies in gegevens die een AI-agent later verwerkt. In dit geval ging het om een lead die via Web-to-Lead in Salesforce terechtkwam.
Salesforce heeft de gemelde problemen intussen verholpen. De onderzoekers van Zenity Labs publiceerden hun bevindingen met zin voor dramatiek onder de naam ‘SalesBleed’.
Data uitlekken zonder klik
Een aanvaller diende een ogenschijnlijk normale lead in met een verborgen instructie. Wanneer een medewerker Agentforce vroeg om de nieuwste leads te bekijken, las de agent die instructie. Dezelfde CRM-subagent had toegang tot zowel Leads als Accounts en kon daardoor bedrijfsnamen en dealgroottes uit de Accounts-tabel opvragen.
Vervolgens plaatste Agentforce die data in een door de aanvaller beheerde hostnaam. Via een HTML-afbeelding probeerde de chatomgeving die hostnaam automatisch te laden. De daaropvolgende DNS-query bevatte de gegevens in het subdomein. De medewerker hoefde geen link te openen en zag de schadelijke payload niet.
Omzeiling van URL-beveiliging
Agentforce gebruikt Trusted URLs om niet-goedgekeurde links uit antwoorden te verwijderen. Zenity Labs combineerde echter twee verschillen in de verwerking van URL’s. De beveiliging herkende bepaalde topleveldomeinen niet en behandelde afsluitende tekens anders dan de browser en de chatomgeving.
Daardoor kon een technisch ongeldige URL toch door de browser als afbeeldingsbron worden verwerkt. De DNS-query was voldoende om de data te onderscheppen. Een daaropvolgende HTTP-aanvraag kon mislukken zonder de datadiefstal ongedaan te maken. Een kwaadaardige lead bleef bovendien in Salesforce staan en kon bij elke nieuwe beoordeling opnieuw worden uitgevoerd.
Agentforce als phishingkanaal
Een tweede aanval maakte misbruik van de Slack-integratie. Een commando om op Slack-berichten te reageren vroeg standaard geen bevestiging en toonde niet welke gebruiker de actie had gestart. Daardoor kon een interne aanvaller Agentforce een phishingbericht laten plaatsen zonder dat de ontvangers de werkelijke afzender konden achterhalen.
Ook een externe aanvaller kon de actie uitlokken via een kwaadaardige lead. Zodra een medewerker die lead door Agentforce liet beoordelen, kon de agent een bericht in een relevante Slack-discussie plaatsen. De eerder gevonden URL-omzeiling maakte het mogelijk om een phishinglink achter onschuldige tekst te verbergen.
Hersteld, maar risico blijft
Salesforce bevestigde de meldingen en paste Trusted URLs aan. Ook kregen Slack-berichten correcte toeschrijving en werd een bevestiging toegevoegd voor de betrokken schrijfactie. Zenity Labs bevestigde op 21 september dat alle fixes waren getest.
Volgens de onderzoekers blijft het risico breder dan Salesforce. Elke AI-agent die externe gegevens leest, toegang heeft tot gevoelige informatie en links of berichten kan genereren, bevat dezelfde combinatie van risico’s. Organisaties moeten daarom vooral de rechten van AI-agenten en bevestigingen voor schrijfacties controleren.
SalesBleed toont hoe een publiek invoerkanaal kan uitgroeien tot een blijvend aanvalspunt. De concrete aanvalsketens zijn gesloten, maar onbetrouwbare data blijft een probleem zodra AI-agenten die data met brede toegangsrechten verwerken.