Injeção de prompt afeta Salesforce CRM

Pesquisadores da Noma Security identificaram uma técnica de roubo de dados que explora injeção de prompt e um domínio expirado para extrair informações do Salesforce, batizada de ForcedLeak. A falha foi demonstrada contra o Agentforce, a plataforma de agentes autônomos da Salesforce que automatiza tarefas multietapa em vendas, marketing e comércio, e aproveita formulários Web-to-Lead para inserir leads diretamente no CRM.

Leia também
Empresa detecta alta de 273 vezes em incidentes
Crime cibernético de IA é indefensável, dizem líderes de TI

No método observado, um invasor envia um lead contendo um payload especialmente construído que mistura instruções aparentemente inofensivas com comandos maliciosos destinados a induzir o agente a recolher e encaminhar dados do CRM para um servidor externo. Quando um funcionário processa esse lead, a injeção de prompt faz com que o agente execute ações de coleta e exfiltração de dados sem sinalizar um comportamento anômalo imediatamente.

Os pesquisadores também notaram que o risco aumentou porque um domínio de confiança ligado ao fluxo foi deixado expirar. Um atacante poderia registrar esse domínio expirado e receber os dados exfiltrados, tornando a operação difícil de detectar. Após notificação, a Salesforce recuperou o domínio e implementou mudanças para impedir que a saída dos agentes de IA seja enviada para domínios não confiáveis.

A descoberta reforça riscos conhecidos na integração entre assistentes de IA e sistemas empresariais e mostra que controles de entrada, validação de conteúdo e proteção contra exfiltração de dados são essenciais. Organizações que usam agentes autônomos devem revisar formulários públicos, aplicar validações estritas e bloquear comunicações com domínios não verificados.