majorprompt-injectionunverifiedcollected
公開フォームに仕込んだ指示で、Agentforceから顧客データを抜き出せた（未検証の報告）
Zenity Labsの研究者によれば、誰でも送れるWeb-to-Leadフォームにプロンプトインジェクションを仕込んだリードを送っておくと、社員がAgentforceに最新のリードについて尋ねただけで、エージェントがAccountsテーブルの値を読み、攻撃者のドメイン名に埋め込んで出力した。ログインも被害者のクリックも要らなかった。研究者による脆弱性の報告で、実際の被害には触れていない。
原因
研究者によれば、同じGeneral CRMサブエージェントのQuery Recordsツールが、LeadsとAccountsの両方を読めた。信頼されていないURLを応答から消すTrusted URLsの仕組みは、認識するトップレベルドメインが限られていて.funを知らず、URLの終わりの判定も表示側と食い違っていた。そのため波かっこを含む文字列が消されずに残り、チャット画面は画像タグの外部URLをそのまま読み込もうとした。
結果
画像を読み込もうとする時点でDNSの問い合わせが起き、サブドメインに入れたデータ（研究者の例では会社名と取引額）が攻撃者のDNSサーバーに届いた。Slackに公開したエージェントでは、URLのプレビュー作成が同じ問い合わせを起こした。研究者は、PoC動画でAccountsテーブル全体を1件ずつ取り出せることを示したとしている。仕込んだリードはテーブルに残るので、見直されるたびに再び動きうる。
対策
Zenity Labsは2026年6月1日にSalesforceへ報告した。Salesforceは修正してTrusted URLsの仕組みを強化し、8月18日に修正の完了を確認、翌19日にZenity Labsも報告したバイパスが塞がったことを確かめた。研究者は、外部から来たレコードを読み、リンクや画像を表示し、機密データにも触れられるエージェントなら、同じ組み合わせを抱えていると指摘している。
何が起きたか
Zenity Labsの研究者が、SalesforceのAgentforceから、 ログインせず、被害者に何もクリックさせずに顧客データを抜き出す手順を見つけ、 SalesBleedと名づけて公表した。入口は公開のWeb-to-Leadフォーム、出口は DNSの問い合わせだった。研究者による脆弱性の報告で、実際の被害には 触れていない。報告を受けたSalesforceは修正を済ませている。
現場の混乱
研究者の説明では、攻撃者はふつうのリードに見えるデータを、項目の一つに 隠した指示を入れてWeb-to-Leadフォームから送る。のちに社員が 「最新のリードを確認して」のような普通の質問をすると、エージェントは そのリードを読み、指示に従って同じQuery RecordsツールでAccountsテーブルを 検索し、会社名や取引額を攻撃者のドメインのサブドメインに入れたURLを、 HTMLの画像タグとして返す。チャット画面が画像を読み込もうとした時点で DNSの問い合わせが攻撃者のサーバーに届き、データはそこで外に出る。 その後のHTTPの通信が失敗しても関係がない。Slackに公開したエージェントでは、 URLを返すだけでSlackのプレビュー作成が同じ問い合わせを起こした。 被害者がしたのは、自分のリードについて自分のエージェントに尋ねたことだけである。
原因
研究者によれば、原因は三つが同じ場所にそろったことだった。外から誰でも 書き込めるデータ、そのデータを読むエージェントが機密データも読める権限、 そして外へ出る経路である。General CRMサブエージェントは既定でLeadsと Accountsの両方を読めたため、権限を広げる必要はなかった。出口を塞ぐはずの Trusted URLsによる消去は、認識するトップレベルドメインが限られていて .funを含まず、URLの終わりの判定も表示側と食い違っていた。波かっこや 角かっこを付けた文字列は消されずに残り、ブラウザは同じ文字列を画像の URLとして扱った。消去はエージェントが出力を作ったあとに外側で行われ、 研究者はクライアントへの応答で消去前と消去後の両方を見られたため、 これを手がかりに指示を調整できた。
対策
Zenity Labsは2026年6月1日にSalesforceへ報告し、翌日Salesforceが確認した。 6月16日に両社で対策を話し合い、Salesforceは8月18日に修正の完了を確認、 19日にZenity Labsも報告したTrusted URLsのバイパスが塞がったことを 確かめた。研究者は、記事で述べた一連の攻撃はもう成り立たないとしている。
教訓はこの製品に限らない。外部から入ったレコードを読み、リンクや画像を 表示し、機密データに触れる道具も持つエージェントは、同じ材料を抱えている。 出力の後から消す仕組みに頼るより、一つのエージェントにその三つを 同時に持たせないほうが確実である。