ForcedLeak: חולשה ב-Agentforce של Salesforce אפשרה לטופס ליד לשאוב נתוני CRM
ב-25 בספטמבר 2025 חשפה חברת האבטחה הישראלית Noma את ForcedLeak, שרשרת חולשות בציון CVSS 9.4 לפי Noma. תוקף יכול היה להחביא הוראות בטופס Web-to-Lead ולגרום לסוכן ה-AI להדליף נתונים.
TL;DR בקצרה
- ב-25 בספטמבר 2025 פרסמה Noma Security את ForcedLeak, שרשרת חולשות ב-Salesforce Agentforce שדורגה 9.4 בסולם CVSS לפי Noma.
- התוקף החביא הוראות בשדה Description של טופס Web-to-Lead. כשעובד שאל את הסוכן על הליד, הסוכן ביצע גם אותן.
- הנתונים יצאו כבקשת תמונה לדומיין שהיה ברשימה המותרת של Salesforce ופג תוקפו. Noma רכשה אותו ב-5 דולר.
- Salesforce אבטחה מחדש את הדומיין, והפעילה ב-8 בספטמבר 2025 את Trusted URLs Enforcement ב-Agentforce וב-Einstein AI.
ב-25 בספטמבר 2025 חשפה חברת האבטחה הישראלית Noma Security את ForcedLeak, שרשרת חולשות ב-Salesforce Agentforce. לפי Noma, היא דורגה 9.4 בסולם CVSS. תוקף חיצוני יכול היה לשלוף נתוני CRM דרך טופס ליד באתר. Salesforce כבר שחררה עדכונים שחוסמים שליחת פלט של Agentforce לכתובות לא מהימנות.
איך ForcedLeak עבדה צעד אחר צעד
המסלול התחיל ב-Web-to-Lead, הכלי של Salesforce שמזין לידים מהאתר ישירות ל-CRM. טופס כזה פתוח לכל גולש. Noma בחנה את שדות הטופס ובחרה בשדה Description, כי הוא מקבל עד 42 אלף תווים. בשדות האחרים יש מגבלה של 40 עד 80 תווים, והיא קצרה מדי להוראות ארוכות.
התוקף הטמין שם הוראות חבויות. אחר כך עובד שאל את Agentforce על הליד, בנוסח רגיל: לבדוק את הליד ולענות לשאלותיו. הסוכן עיבד את בקשת העובד ואת ההוראות הנסתרות יחד. זו הזרקת הוראות עקיפה, indirect prompt injection. התוקף מחביא פקודה בנתונים שהמערכת תקרא בהמשך, ולא מקליד אותה לסוכן ישירות.
ההוראות ביקשו מהסוכן לשלוף את כתובות המייל של הלידים ולהוסיף לתשובה תמונה. כתובת התמונה הכילה את הנתונים כפרמטר. בקשת התמונה הגיעה לשרת של התוקף, והנתונים יצאו איתה.
למה הדומיין הפג של Salesforce פתח את הדלת
בדרך כלל מדיניות אבטחה בשם CSP חוסמת בקשות תמונה לאתרים לא מוכרים. כאן הרשימה המותרת כללה דומיין של Salesforce שפג תוקפו וחזר לשוק. Noma קנתה אותו בחמישה דולרים. מכיוון שהדומיין נשאר ברשימה, הבקשה נראתה לגיטימית.
Noma גם בדקה אם Agentforce עונה רק בנושאי CRM. היא שאלה איזה צבע מתקבל מערבוב אדום וצהוב, והסוכן ענה ״כתום״. לדבריה, זה סימן לגבולות הקשר חלשים. היא מוסיפה שהמודל לא הבחין בין נתונים לגיטימיים לבין הוראות זדוניות שהגיעו ממקור לא מהימן.
ForcedLeak: מה Salesforce שינתה ומה נשאר פתוח
ציר הזמן שמפרסמת Noma קצר. ב-28 ביולי 2025 היא דיווחה ל-Salesforce. ב-31 ביולי התקבלה תגובה, בלי התחייבות לציר זמן לתיקון. ב-8 בספטמבר הפעילה Salesforce את Trusted URLs Enforcement ב-Agentforce וב-Einstein AI. החשיפה לציבור הייתה ב-25 בספטמבר. לפי Noma, Salesforce גם אבטחה מחדש את הדומיין שפג תוקפו.
לפי The Hacker News, Salesforce מסרה שהשירותים שמפעילים את Agentforce יאכפו רשימת כתובות מותרת. לדבריה, המערכת לא תקרא ולא תיצור קישורים זדוניים גם אם הזרקת הוראות תצליח. הפוסט של Noma אינו מזכיר מספר CVE. Itay Ravia מ-Aim Labs אמר ל-The Hacker News ש-ForcedLeak היא גרסה של EchoLeak, שמספרה CVE-2025-32711. לדבריו, החולשות האלה אינן מוגבלות ל-Microsoft.
ההשפעה האפשרית, לפי Noma, חלה על כל ארגון שמפעיל Agentforce עם Web-to-Lead. הסיכון בולט בצוותי מכירות ושיווק, שבהם הסוכן קורא נתונים חיצוניים מדי יום.
מה קרה מאז: מחקר SalesBleed של Zenity
מה קרה מאז: ב-24 בספטמבר 2026 פרסמה Zenity Labs הודעה על מחקר בשם SalesBleed. לפי ההודעה, חוקריה מצאו שלוש חולשות ב-Agentforce. שתיים מהן מאפשרות שאיבת נתונים בלי קליק. השלישית מאפשרת פישינג בשם סוכני Agentforce ב-Slack. הקשר ל-ForcedLeak ברור. Zenity מצאה עקיפות של Trusted URLs, המנגנון שחוסם כתובות ותמונות ממקורות לא מהימנים. לדבריה, היא דיווחה ל-Salesforce ב-1 ביוני 2026, ו-Salesforce טיפלה בעקיפות האלה בתוך כשבועיים.
מה זה אומר עבורכם
- אדמינים של Salesforce: ודאו ש-Trusted URLs מוגדר ומנוהל ב-Agentforce וב-Einstein AI. Noma ממליצה ליישם את ההמלצות של Salesforce בדחיפות.
- עברו על לידים קיימים: חפשו בשדה Description הוראות חריגות או ניסוחים שנראים כמו פקודות לסוכן.
- הגבילו קלט: הפעילו בדיקת קלט וזיהוי של הזרקת הוראות בכל שדה שגולש יכול למלא. נקו נתונים ממקורות לא מהימנים לפני שהסוכן קורא אותם.
- צוותי שיווק: טופס שמזין CRM עם סוכני AI הוא משטח תקיפה. שאלו את מי שמנהל את ה-CRM מה הסוכן רשאי לקרוא ולהחזיר.
- לא רק Salesforce: סוכני AI שקוראים מיילים, טפסים או פניות מהציבור צריכים לראות בהם קלט לא מהימן.
מקורות והרחבה
- ForcedLeak: AI agent risks exposed in Salesforce AgentforceNoma Security
- Salesforce Patches Critical ForcedLeak Bug Exposing CRM Data via AI Prompt InjectionThe Hacker News
- Zenity Labs Uncovers SalesBleed, 3 Salesforce Agentforce Flaws Enabling Zero-Click CRM Data Theft and AI Agent ImpersonationVMblog (Zenity press release)
- AI and agent security co Noma raises $100mGlobes
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
