# ForcedLeak: данные CRM утекали из Salesforce Agentforce через веб-форму лидов

> Noma Security обнаружила, что внешний злоумышленник мог через публичную форму сбора заявок (Web-to-Lead) внедрить инструкции, которые AI-агент Agentforce выполнял при обработке лида, отправляя данные CRM наружу. Исследователи оценили цепочку в 9.4 по CVSS; Salesforce ввела принудительную проверку доверенных URL.

- Канонический HTML: [/incidents/forcedleak-salesforce-agentforce](https://ai-first.tech/incidents/forcedleak-salesforce-agentforce)
- Язык: русский
- Редакционный принцип: защитный контекст без вредоносных полезных нагрузок и инструкций обхода.

- Дата: 2025-09-25
- Категория: Внедрение инструкций
- Затронуто: Salesforce Agentforce в организациях с включённой функцией Web-to-Lead
- Критичность: Критический

## Что произошло

28 июля 2025 года Noma Labs сообщила Salesforce о цепочке уязвимостей в Agentforce, 31 июля Salesforce подтвердила получение отчёта. Для вывода данных исследователи использовали домен, который оставался в списке разрешённых в политике безопасности контента Salesforce, но истёк и был свободен для регистрации; Noma купила его примерно за 5 долларов. 8 сентября 2025 года Salesforce внедрила принудительное применение списка доверенных URL (Trusted URLs Enforcement) для Agentforce и Einstein AI и вернула себе истёкший домен. Публичное раскрытие под названием ForcedLeak состоялось 25 сентября 2025 года.

## Где нарушилась защита

Поля формы Web-to-Lead заполняет кто угодно из интернета, и их содержимое сохраняется в CRM как обычная запись. Когда сотрудник просил агента обработать такой лид, текст из поля попадал в контекст модели и воспринимался как задание. Агент имел доступ к данным CRM и мог формировать ссылки на внешние ресурсы, а проверка по белому списку доменов не учитывала, что один из разрешённых доменов уже не принадлежит Salesforce. Граница доверия нарушалась на стыке публичного ввода, полномочий агента и устаревшего списка разрешённых адресов.

## Последствия

- Под угрозой были контакты клиентов, данные воронки продаж, внутренняя переписка и история взаимодействия с клиентами в CRM
- Атака требовала только публичной формы и недорогого домена, без доступа к системе жертвы
- Оценка исследователей по CVSS 9.4; сведений об эксплуатации в реальных атаках нет

## Реакция

Salesforce 8 сентября 2025 года включила принудительную проверку доверенных URL для Agentforce и Einstein AI и вернула себе контроль над истёкшим доменом; компания заявила, что сервисы не будут вызывать или генерировать недоверенные ссылки.

## Уроки для бизнеса

- Данные из публичных форм, попадающие в CRM, становятся каналом управления AI-агентом
- Белые списки доменов устаревают: истёкший домен в разрешённом списке превращается в канал утечки
- Агенту, обрабатывающему внешние заявки, не нужен широкий доступ ко всей CRM

## Меры защиты

- Регулярно проверять списки разрешённых доменов и сроки их регистрации
- Включить принудительную проверку доверенных URL для вывода AI-агентов
- Очищать и помечать данные из внешних форм перед передачей в контекст агента
- Ограничить полномочия агента данными, необходимыми для конкретной задачи
- Провести аудит существующих лидов на наличие подозрительного содержимого

Связанные карточки угроз: A03, A34, A35, A53, A38

## Первоисточники

- [ForcedLeak: AI Agent Risks Exposed in Salesforce Agentforce](https://noma.security/blog/forcedleak-agent-risks-exposed-in-salesforce-agentforce/) — Noma Security
- [Salesforce Patches Critical ForcedLeak Bug Exposing CRM Data via AI Prompt Injection](https://thehackernews.com/2025/09/salesforce-patches-critical-forcedleak.html) — The Hacker News