Lek in Salesforce-agent Agentforce liet AI data stelen en anoniem phishen

Onderzoekers van Zenity Labs toonden op 24 september 2026 aan hoe ze Agentforce, de AI-agentlaag van Salesforce, konden misbruiken om, zodra een medewerker de agent een vraag over leads stelde, zonder verdere kliks gevoelige CRM-data te stelen en phishingberichten te versturen die leken te komen van een vertrouwde interne bron. Ze noemden de aanvalsketen SalesBleed.

De aanval vertrok bij Web-to-Lead, een gewoon Salesforce-webformulier waarmee bezoekers een lead kunnen aanmaken. Een aanvaller verstopte daarin instructies voor de AI-agent. Die instructies bleven slapend tot een medewerker de agent vroeg om de nieuwe lead te bekijken — op dat moment voerde de agent de verborgen opdracht uit, doorzocht hij ook de Accounts-tabel en stuurde hij de gegevens via een DNS-verzoek of via de link-preview van Slack naar een server van de aanvaller. Salesforce blokkeert normaal verkeer naar niet-vertrouwde adressen, maar die controle herkende bepaalde domeinuitgangen niet, waardoor de blokkade zich liet omzeilen. Een tweede fout zat in de actie waarmee de agent op Slack kan antwoorden: die verstuurde berichten zonder bevestiging en zonder te vermelden welke gebruiker de opdracht gaf, zodat een phishingbericht in een vertrouwd Slack-kanaal leek te komen van de agent zelf, niet van een indringer.

Zenity meldde de kwetsbaarheden op 1 juni 2026 aan Salesforce; Zenity zelf bevestigde op 21 september 2026, na de patches van Salesforce te hebben getest, dat alle drie de lekken hersteld waren. Michael Bargury, medeoprichter en CTO van Zenity, plaatst het probleem breder dan Salesforce alleen: “The bigger lesson here is about what it takes to keep AI agents contained.” Vergelijkbare gaten doken volgens hem al op bij andere AI-platformen die agenten sandboxen.

Wat betekent dit voor banken in België?

Salesforce verkoopt dezelfde Agentforce-laag intussen ook expliciet aan de financiële sector, als “Agentforce for Financial Services”, gebouwd op Financial Services Cloud. Dat is het platform waarmee de Belgische bank Argenta volgens Deloitte in 2022 haar klantenwerking vernieuwde — toen bestond de AI-agentlaag nog niet, want Salesforce lanceerde Agentforce pas in september 2024. Of en hoe banken hier intussen wél op Agentforce draaien voor taken zoals leadopvolging, is niet uit publieke bronnen te achterhalen.

Wie dat wel doet, botst op hetzelfde grondprobleem dat Zenity blootlegde: een AI-agent die automatisch gegevens uit een extern, oncontroleerbaar formulier verwerkt en tegelijk toegang heeft tot een klantendossier, is een aanvalsvector. En wie kan garanderen dat een bericht echt van “de agent” komt en niet van iemand die de agent misbruikt, is precies de vraag die ook al opdook bij de identiteitskaders voor AI-betaalagenten van Visa, Mastercard en Ant.