Что произошло
28 июля 2025 года Noma Labs сообщила Salesforce о цепочке уязвимостей в Agentforce, 31 июля Salesforce подтвердила получение отчёта. Для вывода данных исследователи использовали домен, который оставался в списке разрешённых в политике безопасности контента Salesforce, но истёк и был свободен для регистрации; Noma купила его примерно за 5 долларов. 8 сентября 2025 года Salesforce внедрила принудительное применение списка доверенных URL (Trusted URLs Enforcement) для Agentforce и Einstein AI и вернула себе истёкший домен. Публичное раскрытие под названием ForcedLeak состоялось 25 сентября 2025 года.
Где нарушилась защита
Поля формы Web-to-Lead заполняет кто угодно из интернета, и их содержимое сохраняется в CRM как обычная запись. Когда сотрудник просил агента обработать такой лид, текст из поля попадал в контекст модели и воспринимался как задание. Агент имел доступ к данным CRM и мог формировать ссылки на внешние ресурсы, а проверка по белому списку доменов не учитывала, что один из разрешённых доменов уже не принадлежит Salesforce. Граница доверия нарушалась на стыке публичного ввода, полномочий агента и устаревшего списка разрешённых адресов.
Последствия
- Под угрозой были контакты клиентов, данные воронки продаж, внутренняя переписка и история взаимодействия с клиентами в CRM
- Атака требовала только публичной формы и недорогого домена, без доступа к системе жертвы
- Оценка исследователей по CVSS 9.4; сведений об эксплуатации в реальных атаках нет
Реакция
Salesforce 8 сентября 2025 года включила принудительную проверку доверенных URL для Agentforce и Einstein AI и вернула себе контроль над истёкшим доменом; компания заявила, что сервисы не будут вызывать или генерировать недоверенные ссылки.
Уроки для бизнеса
- Данные из публичных форм, попадающие в CRM, становятся каналом управления AI-агентом
- Белые списки доменов устаревают: истёкший домен в разрешённом списке превращается в канал утечки
- Агенту, обрабатывающему внешние заявки, не нужен широкий доступ ко всей CRM
Меры, которые предотвратили бы инцидент
- Регулярно проверять списки разрешённых доменов и сроки их регистрации
- Включить принудительную проверку доверенных URL для вывода AI-агентов
- Очищать и помечать данные из внешних форм перед передачей в контекст агента
- Ограничить полномочия агента данными, необходимыми для конкретной задачи
- Провести аудит существующих лидов на наличие подозрительного содержимого