ForcedLeak: Indired Prompt Injection en Salesforce AgentForce

Teniendo en cuenta que los LLMs que tenemos hoy en día no tienen ninguna protección por diseño contra los ataques de Prompt Injection, la única defensa posible contra estas debilidades son System Prompts lo más robustos posibles, y Guardarrailes que filtren los Pompts de entrada, y los datos de salida, junto a verificación de alineación entre el objetivo inicial del Prompt y las acciones que está realizando el agente. O lo que es lo mismo, añadir capas de protección a un modelo inseguro por diseño.

Figura 1: ForcedLeak - Indired Prompt Injection en Salesforce AgentForce

El último en sufrir uno de estos ataques, llamado ForcedLeak, ha sido AgentForce de SalesForce, pero no es ni el primero ni será el único, que ya hemos visto muchos de estos casos, como tenéis en estos artículos que tenéis publicados aquí:

• Hacking Gitlab Duo: Remote Prompt Injection, Malicious Prompt Smuggling, Client-Side Attacks & Private Code Stealing
• EchoLeak: Un Cross Prompt Injection Attack (XPIA) para Microsoft Office 365 Copilot
• Google Gemini para Gmail: Cross-Domain Prompt Injection Attack (XPIA) para hacer Phishing
• Taxonomía de Fallos de Seguridad en Agentic AI: Memory Poisoning Attack con Cross-Domain Prompt Injection Attack (XPIA)
• Hacking IA: Indirect Prompt Injection en Perplexity Comet
• ShadowLeak Attack para Agentes IA de Deep Research en ChatGPT
• AgentFlayer exploit para ChatGPT: Prompt Injection para exfiltrar datos de tus almacenes conectados

En el caso de AgentForce de SalesForce, los investigadores han publicado ForcedLeak, un Indirect Prompt Injection que permite exfiltrar información de dentro del sistema, aprovechándose de un fallo de configuración en las Content-Security Policies de SalesForce.

Figura 2: Hacking & Pentesting con Inteligencia Artificial.

En 0xWord, escrito por Pablo González, Fran Ramírez,

Rafael Troncoso, Javier del Pino y Chema Alonso, 

El esquema del ataque completo lo tenéis en el siguiente vídeo que han publicado los investigadores de Noma Security, donde se ven las diferentes fases, que luego vamos a ver en capturas una a a una.

Figura 3: ForcedLeak en Salesforce AgentForce

Para poder exfiltrar los datos, los atacantes descubrieron que uno de los dominios que Salesforce tiene en las Content-Security Policies (CSP) de la web donde se despliega y ejecuta AgentForce como autorizado para cargar contenido externo estaba caducado, así que lo primero que hicieron fue registrarlo y controlar el contenido que allí se publica. 

Figura 4: CSP Bypass con un dominio caducado

Una vez que se sabía cómo se iban a sacar los datos, los investigadores buscaron cómo ejecutar el ataque de Prompt Injection, y lo hicieron en el campo descripción del formulario Web-to-Lead donde alguien puede contactar con el equipo comercial que usa Salesforce.

Figura 5: Prompt Injection para filtrar los datos

Como se puede ver en la imagen anterior, el ataque hace cuatro peticiones, siendo la segunda para despistar, la tercera para conseguir los datos a exfiltrar y la cuarta para componer la exfiltración insertando los datos obtenidos en la acción 3 en la URL de petición de una foto a cargar desde el dominio autorizado en las CSP. Todo esto, al formulario Web-to-Lead en la parte de descripción, como se ve en la imagen siguiente.

Figura 6: Inyección del Prompt Injection en el form Web-to-Lead

Esta información llega a la consola de Salesforce, y allí, si un usuario le pide a AgentForce que conteste a las preguntas que han llegado en el formulario, lo que sucede es que se ejecuta el ataque de Prompt Injection, como puedes ver a continuación.

Figura 7: Petición de contestar la petición a AgentForce

El resultado es que se ejecuta el payload del ataque, se genera la previsualización con la imagen de un dulce perrito en este caso, y con la URL de petición llevando los datos que se ven justo antes de cargar la imagen.

Figura 8: Prompt Injeciton ejecutado en AgentForce y datos exfiltrados

Los datos los podemos ver en el log del servidor web montado en el dominio autorizado en las CSP de Salesforce, lo que permite que se puedan ver en texto claro los datos solicitados en esta PoC, como tenéis en la imagen siguiente.

Figura 9: Datos exfiltrados en la petición GET de la imagen del perrito

Al final, el que no tengamos soluciones de protección contra técnicas de Prompt Injection por diseño generan estas situaciones, donde grandes empresas se ven afectadas una y otra vez por esta misma forma de conseguir que el modelo de IA se ponga a trabajar para el atacante. En este vídeo, tenéis el proceso completo en tiempo real.

Figura 10: PoC de ForcedLeak en Salesforce AgentForce

Algunas de las propuestas por los investigadores para evitar estas técnicas de Prompt Injection por diseño las podéis leer en estos artículos:

• Prompt Injection Protections: Jatmo, StruQ, SecAlign & Instructional Segment Embedding
• Google DeepMind CaMeL: Defeating Prompt Injections by Design in Agentic AI
• LlamaFirewall con PromptGuard 2, LlamaGuard 4, AlignmentCheck, CodeShield + AutoPatchBench & CyberSecEval 4

De todo eso ya os hablé en la charla que di en OpenExpo Europe 2025 / Metaworld Congress 2025 titulada "Hackin’ AI: Creando una IA… ¿Qué puede salir mal?", donde también aproveché a contar muchas cosas de por qué esto es así, que hay que entender bien el funcionamiento de estos modelos para saber por qué nos suceden estos problemas.

Figura 11: "Hackin’ AI: Creando una IA… ¿Qué puede salir mal?"

Si te interesa la IA y la Ciberseguridad, tienes en este enlace todos los posts, papers y charlas que he escrito, citado o impartido sobre este tema: +300 referencias a papers, posts y talks de Hacking & Security con Inteligencia Artificial.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

Mobile World Congress 2024: Mi charla en el Agora de Telefónica

El primer día del Mobile World Congress 2024, tuve el honor de dar una charla en el Ágora de Telefónica para hablar de todo el trabajo que hemos realizado con Kernel, hablando de nuestro Kernel 2.0 con GenAI para hacer servicios digitales con arquitecturas RAG y modelos LLM/SLM/SDM, así cómo los lanzamientos de OpenGateway en los diferentes países, junto con clientes que ya están utilizando estos servicios.

Figura 1: Mobile World Congress 2024. Mi charla en el Agora de Telefónica

La charla entera la podéis ver en Youtube, que ya la he subido a mi canal. En ella veréis que comienza la charla con la presencia del genial pianista Lang Lang, que luego por la noche daría el maravilloso concierto que mezclaba música, arte digital y holografías. Una pasada que hace que sea difícil para el ojo humano descubrir la diferencia entre digital y real.

Figura 2: Presentación de MWC 2024 de Chema Alonso

También estuvieron en la charla Jason Zander, de Microsoft, para presentar la colaboración que estamos haciendo en nuestro Kernel 2.0 para incorporar Azure AI Studio y hacer algo como el caso de "Aura Copilot" para nuestros equipos internos de trabajo.

Figura 3: Presentación de la integración de Kernel con Azure AI Studio

Y también estuvo el genial Vala Asfhar, de Salesforce, que habló del proyecto de uso de las APIs de OpenGateway a través de MuleSoft, gracias a una colaboración con Deloitte, liderados por Pablo Benito, que han hecho un caso de uso fantástico.

Figura 4: Jason Zander, Lang Lang, Vala Asfhar

Por último, en la charla hablé algunos de los nuevos proyectos que estamos llevando en el área de Telefónica Innovación Digital, con la próxima llegada de Movistar Home "Codename Everywhere", y Tu Wallet para Web3... de los que de momento no hay mucho más que contar que lo dije en la presentación, pero que pronto os contaré más detalles.

Figura 5: Proyectos de Tu, como Tu Wallet

Además de mi charla, los compañeros del equipo, como son David del Val o Yaiza Rubio, hablaron de otros proyectos de Web3, Metaverso, OpenGateway y Utiq, de los que ya os iré contando más cosas.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

El CRM de tu empresa es un objetivo. Cómo proteger tus cuentas de SalesForce con Latch Cloud TOTP

Una de las soluciones que más se han popularizado dentro del mundo de la empresa  es SalesForce, una de las plataformas CRM (Customer Relationship Management) que más se ha extendido para gestionar las fuerzas de venta. En ese entorno se gestionan los planes comerciales de las cuentas, las oportunidades de venta, o las ofertas realizadas a cada uno de los clientes y su estado de aprobación. Como os podéis imaginar, es un entorno muy jugoso de información para la competencia de una compañía y que, por lo tanto está sujeto a múltiples ataques de robo de identidad.

Figura 1: El CRM de tu empresa es un objetivo.
Cómo proteger tus cuentas de Salesforce con Latch Cloud TOTP.

Desde espionaje entre compañías de la competencia, hasta el espionaje y el robo de información intra-compañía entre compañeros de trabajo que que se roban las cuentas para contar con información de primera mano o hacer, incluso, acciones con la cuenta suplantada. Es por eso que si tienes un sistema de SalesForce - o cualquier otro CRM - pongas un ojo a la protección de las identidades de las personas que acceden a él ya que la experiencia nos ha dicho que suele ser un lugar crítico en muchos de los incidentes de seguridad.

Figura 2: El Plugin de Latch para Salesforce en la web de plugins de Latch. Pronto disponible.

En ElevenPaths hicimos una implementación de Latch para SalesForce que hemos puesto en varias implantaciones - y que en breve tendrás disponible en el market oficial de SalesForce -, pero también puedes hacer uso de la funcionalidad de Latch Cloud TOTP con las opciones de Autenticación en Dos Pasos que ya tiene implementado el portal. Es esta última opción la que vamos a ver en el post de hoy.

Preparando SalesForce para hacer uso de Latch Cloud TOTP

Lo primero que debemos hacer será iniciar sesión con nuestra cuenta de SalesForce y una vez que estemos en nuestra página de inicio acceder a los ajustes de la cuenta que se encuentran en la parte superior de la pantalla - el icono de rueda dentada -. Ahí seleccionaremos “Página principal de configuración” y hecho esto nos dirigiremos al apartado “Administración” para entrar en la sección “Usuarios”.

Figura 3: Administración de Usuarios

A continuación haremos clic sobre nuestro nombre de usuario para acceder a la configuración de nuestra cuenta y aparecerán en pantalla algunas de las opciones de configuración. Ahí deberemos buscar la opción de “Registro de aplicación: Generador de contraseña simultánea” y pulsaremos “Conectar”.

Figura 4: Generador de contraseña simultánea

Tras pulsar sobre esta opción, el entorno de SalesForce nos pedirá que volvamos a introducir nuestras credenciales para, a continuación,  proceder al escaneo del QR Code con la semilla del algoritmo TOPTP que SalesForce nos ha facilitado.

Figura 5: QR Code con la semilla TOTP generado por SalesForce para esta cuenta

Este proceso se realiza con la aplicación de Latch para generar el nuevo servicio que queremos proteger. Una vez acabada la configuración de nuestro Latch Cloud TOTP en la aplicación deberemos generar un código TOTP haciendo clic en el icono de PIN del servicio en la app de Latch y pulsar sobre la opción  “Conectar”, tal y como se ve en la Figura 4.

Habilitación de TOTP en SalesForce

Para que la autenticación TOTP esté activada en los usuarios, el administrador debe haber permitido que se utilice. Para realizar este proceso de configuración, el Administrador deberá activar el servicio a nivel de "Perfil de usuario". Es decir, cada usuario tiene un perfil de cuenta asociado en SalesForce, y es necesario que ese perfil permita la autenticación en dos pasos.

Figura 6: Perfil asociado a un usuario

En el caso de este ejemplo se puede ver cómo hay que habilitarlo para el perfil de Administrador - incluso - si queremos que pueda hacer uso de la Autenticación en 2 Pasos con Latch Cloud TOTP.

Figura 7: Opción de Autenticación de dos factores en el perfil del usuario. Hay que activarla.

Para activarla tendremos que volver al apartado “Usuarios”, buscar el usuario al que le queramos activar el servicio y pulsar sobre “Modificar”, en ese momento accederemos a la información de su cuenta y haremos clic en “Administrador del sistema”. Ahí se busca la opción de "Autenticación en dos pasos" y se activa.

Configurando Latch Cloud TOTP en la app

Arrancamos nuestra app de Latch con la última versión, donde disponemos de la funcionalidad Cloud TOTP. Nos vamos a añadir un nuevo servicio con Latch y veremos dos opciones como son 'Parear con Latch', que es nuestra funcionalidad clásica, y 'Proteger con Cloud TOTP'. Debemos pulsar esta última.

Figura 8 Creación del Latch Cloud TOTP para SalesFoce en Latch

Al pulsar sobre 'Proteger con Cloud TOTP', Latch mostrará la cámara del dispositivo para que se pueda escanear el QR Code con la semilla TOTP que el entorno de SalesForce nos presentó anteriormente. En el momento que escaneemos o introduzcamos los datos de la semilla (seed) manualmente, Latch nos indicará que hay un nuevo servicio, tal y como se puede ver en la imagen inferior. Una vez que nos muestran este mensaje, tendremos protegida nuestra cuenta de SalesForce con Latch Cloud TOTP.

Iniciando sesión con Latch Cloud TOTP en SalesForce

Ahora, nos dirigimos a la página de inicio de sesión de SalesForce e introducimos nuestro usuario y contraseña. Una vez validado se nos solicitará información sobre el código TOTP, tal y como se puede ver en la imagen. El segundo factor de autenticación está correctamente configurado en la cuenta de SalesForce y podremos utilizar nuestro Latch Cloud TOTP para generar este valor.

Figura 9: Solicitud de código de verificación (TOTP) en login de SalesForce

En nuestra aplicación de Latch deberíamos disponer de una nueva app que tenga el mismo nombre del servicio (en este caso SalesForce). En ella hay un botón, en dicha fila, con la palabra 'Pin', la cual debemos pulsar para que nos genere un código TOTP, que será válido durante un breve período de tiempo (30 segundos), tal y como nos indica el pequeño reloj que aparece junto a él.

Figura 10: Código TOTP para la cuenta de SalesForce en Latch

Demos de protección de SalesForce y SugarCRM en vídeo

No dudéis en configurar los segundos factores de autenticación en todas las cuentas de los servicios que utilicéis, siempre que lo soporten. Hoy en día es un factor vital para fortalecer el uso de las identidades digitales de forma segura. Aquí tienes la demo de la protección de SalesForce con Latch Cloud TOTP.

Figura 11: Proteger un cuenta de SalesForce con Latch Cloud TOTP

Si en lugar de SalesForce tienes otro CRM, puedes buscar a ver si es posible poner un TOTP en él para hacerlo de forma similar, o a ver si es posible usar un plugin de Latch.


Figura 12: Proteger tu SugarCRM con Latch en 10 minutos
Hace tiempo, nosotros hicimos un plugin de Latch para SugarCRM que puedes utilizar en esa plataforma. Aquí tienes un vídeo que explica cómo hacer uso de él. Si tienes otro CRM y quieres ayuda, no dudes en contactar con nosotros en nuestra Comunidad de ElevenPaths dedicada a Latch.

Autor: Sergio Sancho Azcoitia @ElevenPaths