'SalesBleed': lek in Salesforce Agentforce liet CRM-data stelen zonder klik

Beveiligingsonderzoekers van Zenity Labs ontdekten drie kwetsbaarheden in Salesforce Agentforce, de AI-agent van Salesforce, waarmee een aanvaller zonder enige klik van een gebruiker CRM-data kon wegsluizen en anoniem phishingberichten kon versturen via Slack. Het onderzoeksteam doopte de bevindingen “SalesBleed”. Een aanvaller plaatste daarvoor een kwaadaardig lead via een Web-to-Lead-formulier, met verborgen instructies erin verwerkt. Vroeg of laat vroeg een medewerker Agentforce om die leads te overlopen — en op dat moment voerde de AI-agent, via indirecte prompt-injectie, de verborgen instructies uit.

Bij het eerste lek doorzocht de CRM-subagent daarbij de Leads- en Accounts-tabellen, en verstuurde de gevonden bedrijfsnamen en dealgroottes via een DNS-verzoek verstopt in een afbeeldings-URL — zonder dat de medewerker iets hoefde aan te klikken of te zien. Bij het tweede lek kon een phishinglink de URL-filtering van Agentforce omzeilen door gaten in hoe het systeem URL’s herkende, waardoor die link volgens Zenity Labs kon overleven en in Slack verschijnen “as a legitimate link” in het antwoord van de Agentforce-agent. Doordat de Slack-integratie geen bevestiging vroeg en niet toonde welke gebruiker het bericht had veroorzaakt, kon dat phishingbericht niet naar een afzender herleid worden.

Zenity Labs meldde de kwetsbaarheden op 1 juni 2026 aan Salesforce, dat volgens het rapport op 2 juni bevestigde en aan een oplossing begon. Salesforce herstelde de URL-omzeiling op 19 augustus, voegde op 20 augustus gebruikersattributie toe, en rondde op 21 september 2026 alle herstelmaatregelen af. Zenity Labs publiceerde zijn volledige rapport op 24 september 2026.

Wat betekent dit voor Vlaanderen en België?

Agentforce wordt ook door Belgische bedrijven ingezet: Axepta BNP Paribas gebruikt de AI-agent binnen Salesforce Service Cloud om contractopzeggingen grotendeels automatisch te verwerken, en chocoladeproducent Barry Callebaut bouwde er een eigen klantenassistent mee, meldt ITdaily. Voor organisaties die zelf Agentforce of vergelijkbare AI-agenten met toegang tot hun CRM inzetten, illustreert SalesBleed een risico dat niet uniek is voor Salesforce: zodra een AI-agent automatisch externe, onvertrouwde tekst verwerkt — hier een ingevuld webformulier — en tegelijk brede toegang heeft tot interne data, kan die combinatie zelf een aanvalsvector worden. Zenity Labs benadrukt dat dit patroon breder speelt dan alleen Agentforce, bij elke AI-agent die onvertrouwde invoer verwerkt met ruime rechten en de mogelijkheid om links te genereren.

Salesforce zelf meldt dat alle drie de kwetsbaarheden intussen zijn opgelost; wie Agentforce met Slack-integratie gebruikt, gebruikt dus in principe al de herstelde versie. Voor Belgische beveiligings- en compliance-teams is de les vooral er een van patroon: zoals we eerder schreven over een realtime-controlelaag voor AI-agenten, groeit de vraag naar een manier om te zien wat een AI-agent zelf beslist te doen, in plaats van dat pas achteraf in logs te ontdekken.