Vulnerabilidades no Salesforce permitem ataques de phishing via Slack

A série de vulnerabilidades batizadas de "Salesbleed" expôs um cenário de risco considerável para empresas que usam o Salesforce Agentforce. O ponto de partida para esses ataques são os formulários Web-to-lead, ferramentas comuns para capturar dados de clientes em potencial. Empresas os usam para coletar informações, mas são uma porta de entrada para a injeção de instruções maliciosas por atacantes. Os agentes de IA do Agentforce, ao processar esses dados, acabam executando comandos nocivos dentro do ambiente da vítima.

O grande perigo acontece quando o Agentforce está integrado ao Slack. As vulnerabilidades permitem que agentes de IA postem mensagens em canais internos, simulando comunicações legítimas da equipe de TI ou de outros funcionários. Sem mecanismos de confirmação ou atribuição, links de phishing inseridos nessas mensagens se tornam altamente eficazes. O problema não é isolado; é um sintoma da falta de visibilidade e auditoria em tecnologias baseadas em IA, que muitas vezes funcionam como "caixas pretas", dificultando a detecção de atividades maliciosas.

O Salesforce respondeu às novas descobertas do "Salesbleed" com correções mais abrangentes, contrastando com a abordagem anterior. Há um ano, quando vulnerabilidades similares em formulários Web-to-lead foram reveladas, a empresa implementou uma "solução paliativa" baseada em correspondência de expressões regulares (regex) para filtrar URLs. Essa solução, como mostrou o "Salesbleed", era facilmente contornada.

Agora, a Salesforce aprimorou o parsing de URLs, utilizando uma análise mais rigorosa e centralizada para inspecionar o tráfego gerado por agentes de IA. Além disso, introduziu prompts de confirmação obrigatórios para certas ações do Agentforce no Slack. Essas mudanças representam uma tentativa de endereçar a raiz do problema, ao invés de apenas remediar os sintomas.

A exploração das vulnerabilidades "Salesbleed" ressalta a fragilidade da segurança em plataformas de IA interconectadas, principalmente quando lidam com dados sensíveis e comunicação interna. A capacidade de um atacante de postar phishing em canais de comunicação corporativos, como o Slack, compromete a confiança em um ambiente que deveria ser seguro. Isso pode levar a violações de dados, roubo de credenciais e perdas financeiras significativas, tudo a partir de uma origem aparentemente legítima.

Este caso se alinha a uma tendência preocupante de falhas em agentes de IA, como as reportadas pelo CEVIU News em vulnerabilidades como "SilentBridge" (fevereiro de 2026) na Meta Manus ou a "AgentForger" (julho de 2026) no ChatGPT. A combinação de acesso a informações confidenciais e a capacidade de interagir com canais externos cria um risco "tóxico", expondo as organizações a ataques mais sofisticados e difíceis de rastrear.