Форма за запитване: входна точка към данните в CRM

27.09

време за четене: 4 мин.

Публичната форма за запитване на един сайт обикновено се смята за най-безобидното нещо в него. Изследователи от Zenity Labs показаха верига от пет стъпки, в която същата форма стига до таблицата с клиенти. Служителят не отваря нищо и не натиска нищо - той само пита своя агент за постъпилия запис.

Служителка на рецепция подава попълнено листче от кутията за запитвания на робот, който го чете, а от другата страна на преградата втори робот вече провира през тясно прозорче навита на руло дълга хартиена лента с редове от числа, без никой да го спира

Какво показаха изследователите

Разкритието е публикувано на 24 септември 2026 година и е наречено SalesBleed. Засегнатият продукт е Agentforce на Salesforce, тоест агентният слой, който работи върху данните в CRM системата. Входната точка е Web-to-Lead - стандартната форма за запитване, през която сайтът приема съобщения без вход в системата. Вместо име и съобщение в полетата влиза текст, който агентът чете като инструкция.

Инструкцията не се задейства веднага, а изчаква служителят сам да попита агента за този запис. Оттам нататък веригата е автоматична: агентът чете таблицата с клиентски профили със заварените си права, заобикаля списъка с доверени адреси и изнася данните навън. В разбора на Zenity изнесеното е имена на компании и размери на сделки.

Как данните излизат навън, без да има изтегляне

Тази част заслужава внимание, защото показва защо обичайните защити не хващат случая. Списъкът с доверени адреси е точно защитата, която трябва да спре агента да сочи навън. Той е заобиколен с домейн от първо ниво, който механизмът не разпознава, и със знаци, които прекъсват проверката по-рано, отколкото трябва.

Изнасянето минава през заявка за име на домейн, а не през файл или връзка, която някой натиска. Адресът е вграден в HTML етикет за изображение, а самото зареждане на изображението поражда заявката към сървъра на нападателя, като данните пътуват в адреса. Вторият описан канал е автоматичният преглед на адреси в Slack, при който платформата сама отваря адреса, за да покаже как изглежда. И в двата случая исканото действие се извършва от системата, а не от човека пред екрана.

Форма за запитване: защо проблемът е по-голям от изглежданото

Тук не става дума за един производител. Условията, които правят този случай възможен, са налице в много организации: публичен канал, през който влиза непроверен текст, агент, който чете този текст като част от работата си, и права, наследени от служителя, който е задал въпроса. Агентът не е бил компрометиран, а е изпълнил точно това, за което е нает - прочел е постъпилия запис и е действал по него.

Ограничението, което липсва, е разделянето между данни и инструкции. За човек разликата между „това е съдържанието на запитването" и „това е указание какво да направя" е очевидна. За модел, който получава и двете в един и същ текст, тя не е. Оттам следва и практическият извод: всеки публичен вход към система с агент е вход за инструкции, докато не се докаже обратното.

Какво може да се направи

Три неща подлежат на проверка още тази седмица, без да се чака производителят. Първо, инвентаризация на публичните канали, които стигат до агент: формите на сайта, общите пощенски кутии, каналите за поддръжка, коментарите в тикет системата. Второ, правата, с които агентът работи - когато той наследява целия достъп на служителя, всяко негово подхлъзване е с неговия обхват, а не с обхвата на запитването. Трето, изходящите адреси: списък с разрешени адреси пази само ако проверката му не може да се заобиколи с непознат домейн.

Полезно е и да се уговори кой гледа регистрите на агента. Заявка за име на домейн не изглежда като изтичане на данни в нито един отчет, ако никой не я търси. Организациите, които работят с данни за сделки и клиенти, печелят от това тези проверки да са част от въвеждането на агента, а не от реакцията след инцидент.

Как беше затворено

Веригата е докладвана на Salesforce на 1 юни 2026 година, а на 19 август компанията потвърждава, че и трите дефекта са отстранени, като механизмът за доверени адреси е допълнително стегнат. Публичното разкритие идва месец по-късно, на 24 септември. Номер по системата за уязвимости няма и това е обяснимо: продуктът е хостнат от производителя и се обновява при него, а не се инсталира от клиента. Брой засегнати организации не е обявен от нито един източник, включително от самите изследователи.

Заключение

Формата за запитване не е канал за съдържание, а канал за вход. Когато зад нея стои агент, който чете постъпилото и има правата на служителя, единственото нужно действие идва от самия служител, който си върши работата. Разделянето между данни и инструкции и стесняването на правата са по-евтини преди внедряването, отколкото след разбора.

Помагаме на български организации да въвеждат AI агенти върху собствените си данни, без публичните им канали да се превърнат във вход за чужди инструкции. Услугите ни покриват одит, оценка на готовност, обучение на екипи и имплементация на специализирани AI автоматизации за всяка организация. Препоръчваме консултация преди пускането на агент върху CRM, тикет система или обща пощенска кутия. [Свържете се с нас за консултация: academy@razvivai.se]