产业观察
「Salesbleed」漏洞利用Salesforce智能体实施Slack钓鱼攻击
原标题: 「Salesbleed」漏洞利用Salesforce智能体实施Slack钓鱼攻击
📋总体概括
安全研究人员披露名为「Salesbleed」的攻击手法：攻击者通过网页内容向Salesforce的AI智能体注入指令，利用其跨应用调用能力，将钓鱼信息经由受信任的Salesforce渠道推入企业内部Slack频道。该事件揭示Agentic AI时代的新型供应链式攻击面——AI代理可把来自外部网络的任意指令，跨多个应用搬运进企业最信任的内部通信渠道，暴露出代理型AI在企业权限体系中的深层安全盲区。
⚡关键信息
- ▸安全研究披露「Salesbleed」攻击，利用Salesforce AI智能体实现Slack钓鱼
- ▸攻击核心是向AI代理注入来自Web的任意指令，实现跨应用指令走私
- ▸钓鱼内容借助受信任的Salesforce通道进入企业内部Slack通信环境
- ▸该案例表明Agentic AI将外部不可信内容与内部可信渠道直接连通
- ▸AI代理跨应用权限组合成为企业安全新攻击面
🔥犀利点评
这才是Agentic AI真正的命门：企业给AI代理打通了所有应用的权限，却没想过它也是最好的攻击跳板。Salesbleed的本质是信任链劫持——外部网页的恶意指令，披着Salesforce的马甲进入Slack，员工自然毫无防备。所有急着上Agent的企业都该自问：你的AI代理分得清「指令」和「数据」吗？分不清，就等着被社会工程学精准收割。
📰 相关资讯（与本文相关的其他资讯）
本文由本站自动聚合，以下为原始来源：前往 DarkReading 阅读全文 →