ForcedLeak: скрытая утечка данных в Salesforce Agentforce CRM

Исследователи обнаружили уязвимость под названием ForcedLeak, затрагивающую платформу Salesforce Agentforce, которая позволяет злоумышленникам извлекать конфиденциальные данные CRM через косвенное быстрое внедрение (indirect rapid injection). Уязвимость особенно опасна тем, что эксплойт маскируется под обычные бизнес-процессы и не требует типичных векторов атак, таких как фишинг или brute-force.

Кратко о сути уязвимости

Атака использует поле «Описание» формы Salesforce Web-to-Lead, в которое можно отправить до 42 000 символов. Это большое ограничение по объему позволяет закодировать сложные полезные нагрузки, выглядящие как легитимные данные. Когда вредоносная запись попадает в поток обработки Agentforce, агент выполняет свои обычные задачи и непреднамеренно раскрывает конфиденциальную информацию.

Скрытый характер ForcedLeak, при котором доступ к скомпрометированным данным осуществляется без прямых вредоносных действий, таких как фишинг или брутфорс-атаки, делает его особенно опасным.

Как работает атака — пошагово

• Злоумышленник заполняет Web-to-Lead, помещая в поле «Описание» заранее подготовленный payload (вплоть до 42 000 символов).
• Payload маскируется под законный бизнес-контент и проходит первичную обработку без явных признаков аномалии.
• Agentforce получает и интерпретирует этот вход как часть обычного рабочего процесса — агент выполняет ожидаемые операции.
• В результате агент возвращает или записывает данные CRM, включая конфиденциальную информацию, доступную злоумышленнику через несколько обманчивых HTTP-запросов.
• Атака разворачивается быстро и может оставаться незаметной на длительное время.

Почему это опасно

ForcedLeak выделяется по нескольким причинам:

• Скрытность: нет явных признаков компрометации — агент ведёт себя «нормально».
• Простота эксплуатации: не требуются сложные инструменты — достаточно управляемых HTTP-запросов к Web-to-Lead.
• Большой объем поля: 42 000 символов позволяет встраивать сложные и правдоподобные полезные нагрузки.
• Широкие последствия: риск распространяется на другие SaaS-платформы с автономными агентами, обрабатывающими внешние данные.

Ограничения существующих средств защиты

Некоторые средства контроля во время выполнения, такие как AMSI или EDR, могут обнаруживать отдельные элементы поведения, связанные с этой атакой, но сами по себе они недостаточны для полноценной защиты. ForcedLeak эксплуатирует логические и контекстные слабости обработки данных, а не только технические сигнатуры вредоносного кода.

Рекомендации по снижению рисков

Организациям рекомендуется немедленно внедрить комплекс мер, ориентированных на данные и процессы:

• Ограничить длину полей Web-to-Lead и других публичных форм; запретить необоснованно большие payloadы.
• Реализовать строгую валидацию и sanitization входных данных на стороне сервера, а не полагаться только на клиентскую проверку.
• Ввести контекстные границы для автономных агентов: фильтрация и ясен набор разрешённых действий при обработке внешних данных.
• Развернуть Web Application Firewall (WAF), rate-limiting и CAPTCHA для публичных форм, чтобы снизить риск массовых автоматизированных отправок.
• Применить принципы least privilege к агентам и интеграциям — минимальные права доступа к данным и API.
• Включить детальную логирование и мониторинг аномалий в поступающих записях Web-to-Lead и действиях агентов.
• Использовать EDR/AMSI как часть многослойной защиты, но не как единственное средство; внедрять DLP и поведенческую аналитику для обнаружения утечек данных.
• Провести ревизию всех SaaS-интеграций и автономных агентов на предмет обработки внешних входов; при необходимости временно ограничить автоматическую обработку.
• Подготовить инцидент-реакцию и планы уведомления клиентов на случай подтверждённой компрометации CRM-данных.

Что означает ForcedLeak для индустрии

ForcedLeak — не просто баг в одной платформе: это сигнал о том, что по мере внедрения автономных агентов и автоматизации в SaaS-решениях растёт поверхность атаки, ориентированная на логические и контекстные уязвимости. Важнейшая задача безопасности — сместить фокус с исключительно технических детекторов в сторону data-centric мер и строгой проверки контекста входных данных.

Вывод

ForcedLeak демонстрирует, как обычная форма и доверенный агент могут превратиться в инструмент утечки данных. Организациям настоятельно рекомендуется пересмотреть конфигурации Web-to-Lead, укрепить валидацию входа, ограничить права агентов и усилить мониторинг. Только комплексный подход, сочетающий предотвращение, обнаружение и подготовку к инцидентам, позволит снизить риски в условиях растущей автоматизации и интеграции AI-агентов в бизнес-процессы.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.