SalesBleed permitió extraer datos de Agentforce sin clics y suplantar agentes en Slack

Zenity Labs divulgó SalesBleed, un conjunto de tres fallas en Salesforce Agentforce. La cadena comenzaba con instrucciones maliciosas insertadas en un formulario público Web-to-Lead; el contenido quedaba almacenado como un registro aparentemente normal hasta que un empleado pedía al agente revisar los prospectos.

Al procesar el registro contaminado, el agente podía obedecer la inyección indirecta, consultar otros objetos CRM disponibles bajo sus permisos y devolver una respuesta que aparentaba ser legítima. El atacante no necesitaba una cuenta en el tenant ni interacción directa con la víctima.

Dos de las fallas permitían sacar información mediante solicitudes de imágenes y la generación automática de vistas previas de enlaces en Slack. Debilidades en el reconocimiento de dominios y en el análisis de caracteres permitían evadir Trusted URLs, el control diseñado para impedir que Agentforce enviara datos a destinos no aprobados.

La información consultada podía codificarse dentro de una URL controlada por el atacante. El navegador o Slack iniciaban la solicitud al renderizar la respuesta, por lo que los datos podían salir aunque la interfaz indicara que el contenido había sido bloqueado y sin que el empleado pulsara un enlace.

La tercera falla afectaba la integración con Slack. Agentforce podía publicar en distintos canales sin identificar de forma fiable al usuario que había iniciado la acción. Una persona interna podía ocultar su autoría, y una inyección indirecta externa podía inducir al agente a distribuir enlaces de phishing bajo su identidad corporativa.

El impacto no era solo reputacional: un mensaje procedente de un agente ya autorizado dentro del espacio de trabajo tenía más posibilidades de obtener credenciales y abrir acceso posterior a correo, repositorios de código y otras aplicaciones empresariales.

Zenity notificó los hallazgos el 1 de junio de 2026. Salesforce corrigió los bypasses de Trusted URLs y el problema de atribución; la empresa confirmó que las tres fallas estaban resueltas el 19 de agosto. No se ha informado explotación maliciosa en entornos reales.