Zenity Labs heeft een ernstige kwetsbaarheid genaamd SalesBleed ontdekt in Salesforce Agentforce, een AI-gestuurd verkoopgereedschap. Deze kwetsbaarheid stelde aanvallers in staat om gevoelige CRM-gegevens te stelen zonder dat er een inlogpoging, toegang tot een Salesforce-tenant of interactie van het slachtoffer vereist was.

De aanval maakte gebruik van indirecte promptinjectie via de publiekelijk toegankelijke Salesforce Web-to-Lead-formulieren. Deze formulieren zijn bedoeld om verkoopleads van externe gebruikers te verzamelen en zijn opzettelijk niet geauthenticeerd. Een aanvaller kon een ogenschijnlijk normale lead indienen, maar dan met verborgen instructies in een veld dat door Agentforce zou worden verwerkt. De kwaadaardige inzending werd opgeslagen in de Leads-tabel van de organisatie.

Wanneer een medewerker Agentforce een routinevraag stelde, zoals het opvragen van recente leads, kon de AI-agent het gemanipuleerde record ophalen en verwerken. De geïnjecteerde instructies konden een subagent ertoe aanzetten om bestaande Query Records-functionaliteit te gebruiken om toegang te krijgen tot andere CRM-gegevens, zoals accountrecords. Dit was mogelijk omdat de betreffende subagent al toegang had tot zowel lead- als accountgegevens, wat de noodzaak van privilege-escalatie wegneemt. Promptinjectie werd hierdoor getransformeerd tot een methode voor het benaderen en exfiltreren van gegevens tussen records.

Een aanvaller kon de agent instrueren om specifieke gegevens, zoals bedrijfsnamen en dealgroottes, te verkrijgen en deze informatie vervolgens te plaatsen in een subdomein van een door de aanvaller gecontroleerde URL. De methode voor gegevensdiefstal maakte gebruik van een HTML-afbeeldingslabel dat door de agent werd geretourneerd. Wanneer de Agentforce-client een externe afbeeldingsbron rendert, probeert de browser de opgegeven hostnaam op te lossen en op te halen. Voordat een HTTP-verzoek werd voltooid, moest de client een DNS-lookup uitvoeren. Dit DNS-verzoek kon de gezaghebbende DNS-server van de aanvaller bereiken, waardoor de aanvaller de gegevens kon vastleggen die in de hostnaam waren geplaatst.

De techniek werd als "zero-click" beschouwd omdat de medewerker alleen een gewone vraag over leads hoefde te stellen. De gebruiker hoefde geen bijlage te openen, op een URL te klikken, een actie goed te keuren of te interageren met de kwaadaardige lead. Een kwaadaardige lead kon in de CRM blijven bestaan en potentieel worden geactiveerd wanneer een medewerker later vroeg om die gegevens te inspecteren.

Salesforce Agentforce maakt gebruik van Trusted URLs als een toelatingslijst en redactiemechanisme om te voorkomen dat agents niet-goedgekeurde externe URL's genereren of benaderen. Niet-goedgekeurde URL's in reacties van agents worden normaal gesproken vervangen door URL_Redacted. Zenity ontdekte echter randgevallen in de URL-redactielogica, waarbij het controlemechanisme bepaalde top-level domains niet consequent herkende en bepaalde speciale tekens anders behandelde. Hierdoor kon een incorrecte tekenreeks de redactor omzeilen en toch worden behandeld als een opvraagbare URL wanneer deze werd geplaatst in een HTML-afbeeldingsbron. Salesforce heeft de bypass van de specifieke Trusted URLs, die in het onderzoek werd gebruikt, verholpen door de vorige op regex gebaseerde URL-identificatie te vervangen door meer standaardconforme URL-parsing. Zenity bevestigde in augustus 2026 dat de oplossing werkte, en latere meldingen gaven aan dat de bredere SalesBleed-problemen ook waren opgelost.

SalesBleed toont het gevaar aan van het combineren van door de aanvaller gecontroleerde inhoud, toegang tot gevoelige interne gegevens en een methode om gegenereerde uitvoer te verzenden binnen een AI-workflow. Organisaties wordt geadviseerd om Agentforce-toolmachtigingen te beoordelen, agents te beperken tot de minimaal vereiste CRM-objecten, nauwkeurig gedefinieerde Trusted URL-toelatingslijsten af te dwingen en extern ingediende CRM-velden te behandelen als onvertrouwde instructies in plaats van vertrouwde zakelijke inhoud.