KI SpotlightNewsVersteckte Anweisung in Lead-Formular soll Agentforce zur Herausgabe von CRM-Daten bringen
Zenity Labs soll unter dem Namen SalesBleed drei Lücken in Salesforce Agentforce veröffentlicht haben. Eine Primärquelle liegt nicht vor, der Abflusskanal ist ungeklärt.
Mit KI erstellt◆ Fakten auf einen Blick
- Zenity Labs veröffentlichte laut Sekundärquellen SalesBleed-Schwachstellen in Salesforce Agentforce.
- Web-to-Lead-Formulare sind öffentlich zugänglich, an das CRM angebunden und brauchen kein Konto.
- Die Schwachstelle ForcedLeak von Noma Labs (Sasi Levi) wurde mit CVSS 9.4 bewertet.
- ForcedLeak nutzte das Description-Feld eines Web-to-Lead-Formulars, das bis zu 42.000 Zeichen akzeptiert.
- Der ForcedLeak-Patch blockiert Ausgaben an nicht vertrauenswürdige URLs; die Injection gelingt weiterhin.
Drei Lücken, keine Primärquelle
Zenity Labs soll unter dem Namen SalesBleed drei Schwachstellen in Salesforce Agentforce veröffentlicht haben. Das geht laut Sekundärquellen hervor. Der Redaktion liegt keine Primärquelle von Zenity vor. Alle Angaben stammen aus einem Beitrag auf dev.to und einem abgeschnittenen Reddit-Post.
Der beschriebene Angriff beginnt an einem Web-to-Lead-Formular. Solche Formulare sind öffentlich zugänglich und mit dem CRM verbunden. Ein Interessent braucht dafür kein Konto. Der Angreifer füllt das Formular aus und verbirgt in einem Feld eine Prompt Injection. Dann wartet er. Fragt später ein Mitarbeiter den Agenten nach einer Bewertung oder Auskunft zu diesem Lead, liest der Agent den präparierten Datensatz mit. Er befolgt die versteckten Anweisungen, ruft weitere CRM-Daten ab und schickt sie nach außen. Der Agent kann Inhalt und legitime Anweisung nicht zuverlässig trennen, weil beides im selben Kontext landet.
Für den Angreifer ist die Hürde niedrig. Er braucht ein öffentlich beschreibbares Formular und einen Mitarbeiter, der den Agenten irgendwann nach dem Lead fragt.
Die Zeitangaben und den Status nennt allein der dev.to-Autor. Die Lücken seien am 24. September 2026 veröffentlicht und am 1. Juni an Salesforce gemeldet worden. Salesforce habe sie behoben, und reale Ausnutzungen seien nicht bekannt geworden. Eine Bestätigung durch Zenity oder Salesforce liegt nicht vor.
Bekanntes Muster und ein offener Abflusskanal
Der Angriffstyp ist nicht neu. Ablauf und Ziel ähneln weitgehend ForcedLeak, das Noma Labs (Sasi Levi) am 25. September 2025 veröffentlichte und mit CVSS 9.4 bewertete. Damals nutzte der Angriff das Description-Feld eines Web-to-Lead-Formulars, das bis zu 42.000 Zeichen annimmt (Company: 40, Email: 80). Die Daten flossen über eine gerenderte Bild-Anfrage ab. Salesforce schloss diesen Kanal mit Trusted URLs Enforcement. Die Funktion unterbindet Agentforce-Ausgaben an nicht vertrauenswürdige URLs. Die Injection selbst gelingt weiterhin. Der Schutz hält nur, solange die URL-Allowlist greift.
Bei SalesBleed ist der Abflusskanal offen. Der dev.to-Autor nennt ein Bild-Tag. Die Titelzeile des Reddit-Posts spricht dagegen von DNS-Exfiltration; der Text selbst ist abgeschnitten und fehlerhaft. Möglich sind unterschiedliche Kanäle bei den drei Lücken, eine Vereinfachung im dev.to-Text oder eine Verwechslung mit ForcedLeak. Ohne Zenity-Primärquelle lässt sich das nicht klären. Gegenüber dem Forschungsstand belegt ist damit wenig Neues: höchstens der Satz von drei Lücken und der mögliche DNS-Kanal.
Betroffene sollten unabhängig davon handeln. Die Nutzlast läuft im Kontext des ausführenden Benutzers. Abfließende Daten hängen daher von dessen Rechten und den konfigurierten Aktionen ab. Sinnvoll sind begrenzte Agentenrechte sowie eingeschränkte ausgehende Kanäle und URLs. Noma empfiehlt, Agenteninteraktionen der letzten 30 bis 60 Tage auf Auffälligkeiten zu prüfen.
