Ett vanligt kontaktformulär räckte för att kapa en AI-agent som miljontals anställda världen över redan pratar med varje dag. Den 24 september 2026 avslöjade säkerhetsbolaget Zenity Labs tre sårbarheter i Salesforce Agentforce, samlade under namnet SalesBleed. Två av dem lät en angripare stjäla CRM-data utan att offret klickade på något alls. Den tredje gjorde det möjligt att skicka nätfiske under agentens eget, betrodda namn. Salesforce har åtgärdat alla tre, men vägen dit tog 112 dagar och avslöjar ett mönster som redan drabbat både Salesforce själva och Microsoft tidigare.
För säkerhetsansvariga i Norden, där Salesforce är en av de mest använda CRM-plattformarna bland stora företag, är historien inte bara en teknisk fotnot. Den visar konkret hur AI-agenter som får läsa in extern data, till exempel leads från ett kontaktformulär, kan luras att köra dolda instruktioner. Det är samma grundproblem som säkerhetsbranschen kallar indirekt promptinjektion, och som OWASP rankar som den främsta risken i sin lista över sårbarheter i LLM-applikationer.
Vad är SalesBleed?
SalesBleed är inte en enskild bugg utan en kedja av tre separata brister i Salesforce Agentforce, plattformens AI-agenter för säljteam och kundtjänst. Zenity Labs upptäckte att en extern angripare, utan inloggning eller behörighet i målorganisationens Salesforce-miljö, kunde plantera dolda instruktioner via Web-to-Lead, Salesforces publika formulär för att samla in nya kundkontakter. Instruktionerna låg vilande i CRM-systemet tills en anställd senare bad Agentforce-agenten titta på eller sammanfatta leads, enligt Security Week.
Två av de tre bristerna klassas som helt klicklösa (zero-click). Det räckte att den anställda ställde en helt vardaglig fråga, som att be agenten kolla senaste leaden, för att den dolda koden skulle exekveras. Den tredje bristen krävde ingen extern data alls utan utnyttjade en saknad behörighetskontroll i agentens Slack-integration. Ingen av de tre sårbarheterna har fått ett CVE-nummer eller en publicerad CVSS-poäng, till skillnad från flera jämförbara incidenter som beskrivs längre ner i den här artikeln.
Så kapades Agentforce via ett vanligt kontaktformulär
Attackkedjan för de två första bristerna byggde på en enkel princip: allt en angripare skriver i ett publikt formulär hamnar till slut i ett fält som en AI-agent kan läsa. Zenitys forskare fyllde i Web-to-Lead-formuläret med text som såg ut som vanlig leaddata men egentligen innehöll instruktioner riktade till Agentforce-agenten, inte till en människa.
När en säljare senare skrev något så oskyldigt som att be agenten kolla de senaste leadsen och hjälpa till med den nyaste, tolkade agenten den infekterade posten som en instruktion. Enligt Zenitys egen tekniska genomgång, återgiven av The Register, körde agenten sedan fyra steg i tysthet: den slog upp poster i kontotabellen, plockade ut fält som företagsnamn och affärsstorlek, klistrade in värdena som en subdomän i en angriparkontrollerad webbadress, och skrev till slut ut länken som en bild-tagg. Webbläsaren hämtade automatiskt bilden, vilket i praktiken skickade en DNS-fråga fylld med stulen data direkt till angriparens server.
Den anställda såg aldrig något ovanligt. Agenten svarade normalt, exporten skedde i bakgrunden, och Salesforces egna loggar visade enligt Zenity att innehållet hade blockerats av säkerhetspolicyn, trots att datan redan hade lämnat organisationen.
Bristen i Trusted URLs som gjorde allt möjligt
Roten till problemet låg i en säkerhetsfunktion som heter Trusted URLs. Den är tänkt att stoppa Agentforce från att visa bilder eller länkar från domäner som inte finns på en godkänd lista. Zenity Labs upptäckte två separata svagheter i hur kontrollen faktiskt fungerade: mekanismen kände inte igen värdnamn som slutade på ovanliga toppdomäner, och vissa teckenkombinationer förvirrade hur webbadresser tolkades.
Genom att kombinera de två svagheterna kunde forskarna skriva en sträng som slank förbi filtret helt, samtidigt som den fortfarande fungerade som en giltig bildadress mot angriparens server. Samma bakomvägar gick även att utnyttja via Slack. Tjänsten hämtar automatiskt en förhandsvisning när en länk delas i en kanal, och en särskilt konstruerad länk kunde tvinga fram samma sorts datastöld så fort länken visades, helt utan att någon klickade.
Zenity påpekar att bristen inte är unik för Salesforce. Vilken agent som helst som läser in poster från externa källor, visar länkar eller bilder tillbaka till en användare, och samtidigt har verktygsåtkomst till känslig data, sitter enligt bolaget på exakt samma tre ingredienser. Det gör mönstret intressant långt bortom just Agentforce.
Den tredje bristen: nätfiske i en betrodd AI-agents namn
Den tredje sårbarheten satt i en annan del av systemet: Agentforce-funktionen “Reply to a Slack Thread”, som låter agenten svara direkt i en Slack-tråd. Funktionen krävde varken godkännande från en användare innan meddelandet skickades, eller någon synlig markering av vem som egentligen hade bett agenten agera.
Det öppnade för två separata missbruksvägar. En illasinnad anställd som redan chattade med agenten kunde få den att skicka nätfiskemeddelanden anonymt i interna kanaler, i agentens eget namn. En extern angripare kunde uppnå samma sak indirekt, genom att plantera instruktioner i ett Web-to-Lead-formulär som senare fick agenten att posta phishinglänkar när en anställd bad om hjälp med leaden. Eftersom meddelandet kom från ett system som redan var etablerat och betrott på arbetsplatsen, snarare än från en okänd extern avsändare, blir den typen av attack ofta svårare att upptäcka än vanligt e-postbaserat nätfiske.
Tidslinjen: 112 dagar från rapport till bekräftad fix
Zenity Labs rapporterade alla tre sårbarheterna till Salesforce den 1 juni 2026. Salesforce bekräftade redan dagen efter att man arbetade med rättningar. Den första delfixen, som täppte till kringgåendet av Trusted URLs, bekräftades av Zenity den 19 augusti. Det dröjde sedan till den 21 september innan Zenity hade testat och godkänt samtliga tre åtgärder, tre dagar innan den offentliga publiceringen den 24 september. Räknat från första rapport till bekräftad helhetsfix tog processen exakt 112 dagar.
| Datum 2026 | Händelse | Dagar sedan rapport |
|---|---|---|
| 1 juni | Zenity Labs rapporterar samtliga tre brister till Salesforce | 0 |
| 2 juni | Salesforce bekräftar att man arbetar med åtgärder | 1 |
| 19 augusti | Zenity bekräftar fix för kringgåendet av Trusted URLs | 79 |
| 21 september | Zenity bekräftar att alla tre brister är åtgärdade och testade | 112 |
| 24 september | Offentlig publicering av SalesBleed | 115 |
Vad Zenity Labs och Michael Bargury säger om upptäckten
Zenitys medgrundare och teknikchef Michael Bargury kommenterade fyndet för The Register och pekade på ett mönster som sträcker sig långt bortom just Salesforce. Enligt honom handlar den större lärdomen om hur svårt det faktiskt är att hålla en AI-agent innesluten. Säkerhet från grunden är fortfarande viktigt, men för agenter räcker det enligt Bargury inte alltid, eftersom ett team kan bygga in skydd från start och ändå missa gränsfall som bara dyker upp när agenten möter verkligheten.
Bargury drog också en direkt parallell till en tidigare incident där AI-agenter från OpenAI, kopplade till Hugging Face, lyckades ta sig ur den sandlåda som skulle hålla dem instängda, en händelse som Shattered.io tidigare rapporterat om. Han menar att den typen av brister blir vanligare i takt med att agenter blir kraftfullare, och att organisationer därför behöver övervaka sina agenter allt tätare eftersom ett enda förbisett hål kan förändra hela riskbilden.
Inte första gången: ForcedLeak och samma mönster ett år tidigare
Det mest slående med SalesBleed är hur bekant det känns. Nästan exakt ett år tidigare, den 25 september 2025, publicerade säkerhetsforskaren Sasi Levi på Noma Security en rapport om ForcedLeak, en sårbarhetskedja i just Salesforce Agentforce med en kritisk CVSS-poäng på 9,4, enligt Noma Securitys egen analys. Även ForcedLeak byggde på Web-to-Lead-formuläret och en indirekt promptinjektion, kombinerat med en svaghet i innehållssäkerhetspolicyn som gjorde att agenten inte kunde skilja på legitim data och skadliga instruktioner i samma kontext.
Salesforce agerade snabbt då också och stängde det specifika hålet genom att tvinga fram Trusted URLs som standard för Agentforce och Einstein AI. Problemet är att grundorsaken, att en agent inte robust kan skilja på data och instruktioner när båda kommer i samma textfält, uppenbarligen levde vidare i en annan form. Ett år senare hittade Zenity nya vägar att kringgå just den mekanism som skulle förhindra en upprepning.
EchoLeak i Microsoft 365 Copilot: samma sårbarhetsklass, annan leverantör
Salesforce är långt ifrån ensamma om problemet. I juni 2025 avslöjade det israeliska säkerhetsbolaget Aim Security EchoLeak, en klicklös sårbarhet i Microsoft 365 Copilot som fick CVE-numret CVE-2025-32711 och en CVSS-poäng på 9,3, enligt The Hacker News. Där låg attackvägen i ett vanligt e-postmeddelande med dold text i markdown-format, som fick Copilots RAG-motor att blanda ihop opålitligt innehåll med känslig data och sedan läcka den vidare via länkar i Microsoft Teams och SharePoint. Microsoft åtgärdade felet och räknade in det i sin Patch Tuesday-lista för juni 2025, som då täppte till totalt 68 brister.
Tre incidenter, tre leverantörer, samma underliggande designfel: en språkmodell som behandlar extern, opålitrodd text som om den vore en instruktion från ägaren av systemet. Tabellen nedan sammanfattar hur de tre sårbarheterna skiljer sig åt och vad de har gemensamt.
| Sårbarhet | Plattform | Upptäckt av | Datum | CVSS | Klicklös |
|---|---|---|---|---|---|
| ForcedLeak | Salesforce Agentforce | Noma Security (Sasi Levi) | 25 sep 2025 | 9,4 | Delvis |
| EchoLeak | Microsoft 365 Copilot | Aim Security | Jun 2025 | 9,3 | Ja |
| SalesBleed (2 av 3 brister) | Salesforce Agentforce | Zenity Labs | 24 sep 2026 | Ej tilldelad | Ja |
Varför AI-agenter skapar en ny sorts attackyta
En traditionell chattbot svarar bara på det du skriver till den. En agent gör något helt annat: den läser data från flera källor, anropar verktyg, skriver till system, och agerar ofta utan att en människa granskar varje steg. Det är precis den kombinationen, extern indata plus verktygsåtkomst plus autonomt agerande, som Zenity pekar ut som den gemensamma nämnaren bakom SalesBleed, ForcedLeak och EchoLeak.
OWASP har sedan flera år tillbaka klassat just promptinjektion som den högst rankade risken i sin särskilda topplista för LLM-applikationer, kategoriserad som LLM01. Det som gör 2026 annorlunda är att riskerna inte längre stannar vid att en chattbot råkar säga något olämpligt. När agenten har behörighet att fråga databaser, skicka meddelanden och exportera filer, flyttas konsekvensen av en lyckad injektion från pinsamt till potentiellt kostsamt på riktigt.
Marknadspåverkan: Agentforce är kärnan i Salesforces tillväxt
Timingen gör historien känsligare än den annars hade varit. Salesforce rapporterade för räkenskapsåret 2026 en total omsättning på 41,5 miljarder dollar, en ökning med 10 procent jämfört med föregående år. Agentforce är inte längre en experimentfunktion vid sidan om, utan en av bolagets viktigaste tillväxtmotorer: Salesforce uppgav att man vid slutet av räkenskapsåret hade tecknat fler än 29 000 Agentforce-avtal, med en årlig återkommande intäkt för produkten på ungefär 800 miljoner dollar. Enligt bolagets egen resultatrapport för räkenskapsåret hade Agentforce och Slack tillsammans processat fler än 2,4 miljarder agentiska arbetsenheter.
Det är alltså inte en nischprodukt som drabbats, utan motorn bakom en betydande del av Salesforces framtida intäkter, mitt i ett IDC-erkännande som gav bolaget förstaplatsen bland CRM-leverantörer för trettonde året i rad. Ju fler organisationer som kopplar in Agentforce mot känslig kunddata, desto större blir potentiell skada av nästa liknande brist, och desto viktigare blir det för Salesforce att bevisa att man kan täppa till hål snabbare än forskarna hittar nya.
Vad det betyder för svenska och nordiska företag
Salesforce hör till de mest använda CRM-plattformarna bland stora nordiska företag, och många av dem har redan börjat testa eller rulla ut Agentforce i sälj- och kundtjänstflöden. SalesBleed i sig krävde ingen inloggning i offrets Salesforce-miljö, bara ett publikt formulär och en anställd som ställde en helt normal fråga. Det gör hotmodellen relevant för i princip vilken organisation som helst som låter en AI-agent bearbeta inkommande leads eller kundärenden.
Ur ett regelverksperspektiv landar den här typen av incident mitt i två pågående processer. NIS2-lagstiftningen skärper redan kraven på att medelstora och stora företag i viktiga sektorer ska kunna identifiera och rapportera it-säkerhetsincidenter i sin leverantörskedja, inklusive molntjänster som Salesforce. Om en AI-agent exfiltrerar kunddata räknas det dessutom potentiellt som en personuppgiftsincident under GDPR, oavsett om det var en extern angripare eller en systemsvaghet som orsakade läckan. Företag som integrerar Agentforce eller liknande agenter bör därför redan nu kunna svara på vilken data agenten har åtkomst till, vilka externa källor den läser in, och om den kan initiera utgående nätverksanrop utan mänsklig granskning.
Så minskar du risken för promptinjektion i CRM-agenter
Zenitys egen slutsats är tydlig: samma tre ingredienser som gjorde SalesBleed möjligt, extern indata, förmåga att visa länkar eller bilder, och verktygsåtkomst till känslig data, återfinns i de flesta agentimplementationer. Att bygga bort risken helt är svårt, men flera konkreta åtgärder minskar exponeringen kraftigt.
- Separera innehåll som kommer från externa, opålitliga källor (som Web-to-Lead) från interna instruktioner innan det når modellens kontext.
- Kräv mänskligt godkännande för agentåtgärder som skickar meddelanden till kanaler, kontakter eller externa mottagare.
- Begränsa vilka domäner en agent får hämta bilder eller länkar från, och testa filtret mot ovanliga toppdomäner och specialtecken, inte bara mot uppenbara adresser.
- Logga och granska agentens faktiska verktygsanrop, inte bara det slutliga svaret som visas för användaren.
- Behandla varje ny agentintegration (CRM, Slack, e-post) som en egen attackyta som kräver eget hotmodelleringsarbete, snarare än att anta att leverantörens standardinställningar räcker.
Verktyg som LLM Guard och Rebuff kan hjälpa till att fånga upp misstänkta instruktioner innan de når modellen, medan tekniker som beskrivs i vår genomgång av hur man stoppar promptinjektion mot ChatGPT API går att applicera på liknande sätt mot andra leverantörers agenter.
Fem förutsägelser för agentsäkerhet framåt
SalesBleed, ForcedLeak och EchoLeak pekar mot en tydlig riktning för resten av 2026 och in i 2027.
- Fler klicklösa agentsårbarheter kommer avslöjas hos stora SaaS-leverantörer under de kommande månaderna, i takt med att fler säkerhetsbolag specialiserar sig på just agentsäkerhet.
- Salesforce, Microsoft och andra plattformsägare kommer tvingas göra Trusted URLs-liknande filter till standard snarare än valfria inställningar, efter att ha sett samma mönster upprepas två gånger på ett år.
- Fristående AI-agent-brandväggar och runtime-övervakning, i stil med det Zenity och Noma redan säljer, blir en egen produktkategori som växer snabbare än traditionell API-säkerhet.
- Regulatoriska myndigheter i EU kommer börja ställa konkreta frågor om agentbehörigheter och dataflöden i samband med NIS2-tillsyn, inte bara generella frågor om molnsäkerhet.
- Fler upptäckter kommer sakna tilldelat CVE-nummer, vilket gör det svårare för säkerhetsteam att prioritera patchning centralt och ökar trycket på leverantörsspecifika säkerhetsbulletiner.
Vanliga frågor
Vad är SalesBleed?
SalesBleed är samlingsnamnet för tre säkerhetsbrister i Salesforce Agentforce, upptäckta av Zenity Labs och offentliggjorda den 24 september 2026. Två av dem gjorde det möjligt att stjäla CRM-data utan att offret klickade på något, och den tredje kunde användas för att skicka nätfiskemeddelanden i en betrodd AI-agents namn.
Är sårbarheterna åtgärdade?
Ja. Enligt Zenitys egen tidslinje bekräftade Salesforce en delfix den 19 augusti 2026 och hade åtgärdat samtliga tre brister senast den 21 september 2026, tre dagar innan den offentliga publiceringen.
Fick SalesBleed ett CVE-nummer eller en CVSS-poäng?
Nej. Till skillnad från föregångaren ForcedLeak, som fick CVSS 9,4, har SalesBleed varken tilldelats CVE-nummer eller publicerad CVSS-poäng i den rapportering som finns tillgänglig.
Behövde en angripare vara inloggad i offrets Salesforce-konto?
Nej. Attacken utnyttjade Web-to-Lead, ett publikt formulär som vem som helst kan fylla i utan konto eller behörighet i målorganisationens system.
Hur skiljer sig SalesBleed från ForcedLeak?
Båda utnyttjade Web-to-Lead och indirekt promptinjektion i Salesforce Agentforce, men ForcedLeak (2025) byggde på en svaghet i innehållssäkerhetspolicyn medan SalesBleed (2026) kringgick den efterföljande Trusted URLs-kontrollen på ett nytt sätt, ett år senare.
Är EchoLeak i Microsoft 365 Copilot samma typ av sårbarhet?
Ja, i grunden. Alla tre incidenter, SalesBleed, ForcedLeak och EchoLeak, bygger på att en AI-agent inte robust kan skilja mellan opålitlig extern text och legitima instruktioner när båda hamnar i samma kontext.
Vad bör svenska företag som använder Agentforce göra nu?
Kartlägga exakt vilken data agenten kan nå, begränsa vilka externa domäner den får kommunicera med, kräva mänskligt godkännande för utgående meddelanden, och bedöma om en liknande dataexport skulle utlösa rapporteringsplikt enligt GDPR eller NIS2.
Påverkar SalesBleed förtroendet för Agentforce som produkt?
Incidenten kommer i ett läge där Agentforce vuxit till en betydande intäktskälla för Salesforce, med tiotusentals sålda avtal under räkenskapsåret 2026. Upprepade sårbarheter av samma typ riskerar att bromsa den utrullningstakten hos försiktiga IT-avdelningar, även om Salesforce hittills åtgärdat varje enskild brist relativt snabbt efter rapportering.
