สรุปสั้น

นักวิจัยจากบริษัท Zenity เปิดเผยช่องโหว่ 3 จุดในระบบ Salesforce Agentforce ที่เรียกรวมกันว่า “Salesbleed” ซึ่งอาจเปิดเผยข้อมูลภายในของลูกค้า และที่ร้ายแรงกว่าคือเปิดทางให้ผู้โจมตีฟิชชิงพนักงานจากภายในช่องทางสื่อสารที่องค์กรไว้วางใจอย่าง Slack จุดเริ่มต้นของการโจมตีคือฟอร์ม Web-to-lead หนึ่งในไม่กี่บริบทบนอินเทอร์เน็ตที่บริษัทยินยอมรับข้อมูลเกือบทุกอย่างจากบุคคลภายนอก ในยุคเอเจนต์ AI ผู้โจมตีจึงเปลี่ยนจากการส่งโค้ดมุ่งร้ายมาเป็นการส่ง prompt มุ่งร้ายแทน

เมื่อเอเจนต์ Agentforce ปลายทางรับคำสั่งที่ถูกออกแบบมาเป็นพิเศษเข้าไปประมวลผล มันจะทำตามคำสั่งนั้นในสภาพแวดล้อมของบริษัทเหยื่อ เช่น ดึงข้อมูลออกไปยัง URL ของผู้โจมตี แต่จุดที่น่ากังวลที่สุดคือความสามารถของเอเจนต์ในการโพสต์ข้อความลง Slack ซึ่งขาดการควบคุมเรื่องการระบุตัวผู้ส่งเมื่อบอทตอบกลับในเธรด ทำให้ข้อความฟิชชิงที่บอทส่งดูเหมือนมาจากพนักงานจริงหรือฝ่าย IT helpdesk และแทบไม่มีใครสงสัยเจตนาร้ายในช่องทางที่เชื่อถือกันภายใน

รายละเอียดข่าว

เว็บไซต์ Dark Reading รายงานเมื่อวันที่ 24 กันยายน 2569 ว่า ช่องโหว่ชุด Salesbleed ใน Salesforce Agentforce แสดงให้เห็นว่าเอเจนต์ AI สามารถลักลอบนำคำสั่งจากภายนอกเว็บ ข้ามหลายแอป เข้าไปยังช่องทางสื่อสารภายในที่เชื่อถือได้อย่างไร

นักวิจัยจาก Zenity ระบุว่าช่องโหว่ทั้ง 3 จุดใน Agentforce เปิดทางให้ผู้โจมตีค่อย ๆ ดึงข้อมูลของเหยื่อออกมาผ่านฟอร์ม Web-to-lead แต่การค้นพบที่น่าสนใจที่สุดคือ ช่องโหว่ Web-to-lead ที่ดูเล็กน้อยนี้เมื่อนำไปประกอบกับกระบวนการทำงานปกติของ Agentforce กลับสามารถใช้ฟิชชิงพนักงานจากในช่อง Slack ที่พวกเขาไว้วางใจที่สุดได้

เรื่องนี้ต่อยอดจากปัญหาที่นักวิจัยจากบริษัท Noma Security เคยเปิดเผยเมื่อปีก่อน เกี่ยวกับวิธีขโมยข้อมูลองค์กรผ่านฟอร์ม Web-to-lead ของ Salesforce ในตอนนั้น Salesforce ตอบสนองด้วยการปรับปรุงกฎเกี่ยวกับ URL ที่ผู้โจมตีอาจใช้ แต่เป็นเพียงการแก้แบบผิวเผิน หนึ่งปีต่อมา นักวิจัยจาก Zenity พบว่าพวกเขายังทำการโจมตีแบบเดิมได้ ด้วยการหาทางเลี่ยงกฎการกรอง URL ที่ Salesforce วางไว้ตอบสนองการค้นพบเมื่อปีก่อน

วิธีการโจมตี

ฟอร์ม Web-to-lead ทำงานโดยให้ผู้ที่สนใจสินค้ากรอกข้อมูลเพื่อเข้าถึงบางอย่าง แล้วข้อมูลลูกค้ามุ่งหวังนั้นจะถูกนำเข้าสู่ Salesforce หากผู้โจมตีคาดว่าเป้าหมายใช้เอเจนต์ AI ของ Agentforce อยู่ เขาสามารถแฝงคำสั่ง AI ที่ออกแบบมาเป็นพิเศษ เช่น คำสั่งให้ดึงข้อมูลออกไปยัง URL ที่ผู้โจมตีควบคุม ลงในฟอร์ม Web-to-lead แล้วเอเจนต์ปลายทางจะรับคำสั่งนั้นไปประมวลผลและทำตามภายในสภาพแวดล้อมของบริษัทเหยื่อ วิธีนี้สะดวกสำหรับผู้โจมตี เพราะไม่มีทางระบุตัว ระงับ หรือลงโทษผู้ไม่หวังดีที่ผ่านมาใช้ฟอร์ม Web-to-lead และการให้เอเจนต์ AI ทำงานแทนยังทำให้ผู้โจมตีอาศัยสิทธิ์ที่ลูกค้า Salesforce มอบให้บอทของตนได้ง่าย ๆ

ข้อจำกัดเดียวคือ ในแต่ละ prompt ผู้โจมตีดึงข้อมูลออกได้เท่าที่ใส่ลงในสตริงชื่อ subdomain เดียวเท่านั้น ซึ่งไม่มากพอจะสร้างความเสียหายใหญ่ เว้นแต่จะเจาะจงข้อมูลหรือทำอัตโนมัติเป็นพันครั้ง แต่การอ่านและส่งข้อมูลเป็นเพียงสองในหลายความสามารถของเอเจนต์ Agentforce ผู้ใช้สามารถ deploy เอเจนต์ Salesforce เข้าสู่ Slack ได้โดยตรง โดยเอเจนต์ Slack จะได้รับสิทธิ์ต่าง ๆ ในรูปของ “subagent” และปกติจะถูกตั้งค่าให้ต้องรอผู้ใช้ยืนยันก่อนทำงาน พร้อมมีการระบุว่าผู้ใช้คนใดรับผิดชอบการกระทำนั้น อย่างไรก็ตาม การควบคุมเหล่านี้กลับขาดหายไปเมื่อเป็นการตอบกลับในเธรด Slack นักวิจัย Zenity จึงพบว่า หากผู้โจมตีภายนอก inject prompt มุ่งร้ายเข้าไปในฟอร์ม Web-to-lead แทนที่จะดึงข้อมูลอย่างเดียว ก็สามารถสั่งให้บอท Salesforce ตอบกลับเธรด Slack ภายในบริษัทได้ โดยข้อความอาจแฝงเทคนิค social engineering พร้อมลิงก์ฟิชชิงที่อาศัยช่องว่างของการกรอง URL และเนื่องจากไม่มีการระบุตัวผู้ส่ง ข้อความจึงดูเหมือนถูกส่งโดยพนักงานจริงหรือฝ่าย IT helpdesk

ผลกระทบ

Salesforce ยอมรับช่องโหว่ทั้งหมด ซึ่งไม่มีการกำหนดหมายเลข CVE และระบุว่ายังไม่พบหลักฐานว่ามีผู้โจมตีจริงนำไปใช้ อย่างไรก็ตาม ผลกระทบเชิงหลักการนั้นกว้างไกล เพราะช่องโหว่นี้แสดงให้เห็นว่าเมื่อเอเจนต์ AI มีทั้งสิทธิ์เข้าถึงข้อมูลอ่อนไหว (เช่น ข้อมูลลูกค้ามุ่งหวัง สัญญา บัญชีเจ้าหนี้) และสิทธิ์ในการส่งข้อความไปยังช่องทางภายนอกหรือภายในองค์กร การผสมสองสิ่งนี้เข้าด้วยกันจะกลายเป็นชุดความสามารถที่อันตรายอย่างยิ่ง นาย Tamir Ishay Sharbat ผู้อำนวยการฝ่ายวิจัยความปลอดภัยของ Zenity เตือนว่ายิ่งให้อำนาจเอเจนต์มากเท่าไร ก็ยิ่งอันตรายมากเท่านั้น ขณะที่นาย Michael Bargury ประธานเจ้าหน้าที่เทคโนโลยีของ Zenity ชี้ปัญหาเรื่องการมองเห็น (visibility) ว่าตลาดกำลังสร้างเอเจนต์เป็น “กล่องดำ” ที่ตรวจสอบไม่ได้ว่าใครทำอะไรเพราะอะไร เห็นได้เพียงบทสรุป ทำให้ยากต่อการไว้วางใจ ซึ่งเป็นปัญหาที่แพร่หลายทั่วทั้งอุตสาหกรรมไม่ใช่แค่ Salesforce

คำแนะนำ

Salesforce ได้ปรับค่าเริ่มต้นของบางการกระทำของ Agentforce ใน Slack ให้ต้องมีการยืนยันจากผู้ใช้ก่อนส่งข้อความ พร้อมติดต่อลูกค้าโดยตรงเพื่อช่วยทบทวนการตั้งค่าและปรับตามคำแนะนำ นอกจากนี้บริษัทยังยกเครื่องระบบกรอง URL จากเดิมที่ใช้การจับคู่ด้วย regular expression ซึ่งถูกเลี่ยงได้ มาเป็นการแยกวิเคราะห์ URL ตามมาตรฐาน (spec-conformant URL parsing) และรวมกระบวนการตรวจสอบ URL ทั้งหมดให้ผ่านเกตเวย์เดียวที่ใช้กฎความปลอดภัยสอดคล้องกัน องค์กรที่ใช้ Agentforce และเชื่อมกับ Slack ควรรีบทบทวนการตั้งค่าให้ทุกการส่งข้อความของเอเจนต์ต้องได้รับการยืนยันจากมนุษย์ จำกัดสิทธิ์ของเอเจนต์ตามหลัก least privilege แยกข้อมูลอ่อนไหวออกจากช่องทางที่รับข้อมูลภายนอก และเฝ้าระวังการกระทำของเอเจนต์ผ่านการบันทึก log อย่างละเอียด รวมถึงให้ความรู้พนักงานว่าข้อความจากบอทในช่องทางภายในก็อาจถูกปลอมแปลงเพื่อฟิชชิงได้

แหล่งอ้างอิง