Dark Reading сообщил о технике, которую он называет Salesbleed и которая эксплуатирует агентов Salesforce. Согласно этой публикации, уязвимость позволяет доставлять фишинговые сообщения через Slack, превращая внутреннего ассистента в ретранслятор для вредоносного контента. Описанный механизм примечателен тем, что злоупотребляет разрешениями агента, а не слабостью на уровне промпта, то есть сбой кроется в области действий, предоставленной агенту, а не в обработке инструкций моделью.
Для команд, которые создают или эксплуатируют агентные системы, этот случай иллюстрирует структурное свойство поверхностей инструментов: агент наследует доверие платформы, в которой он находится. Когда агент обладает чрезмерно широкой областью действий, это доверие может быть потрачено на каналы доставки, которые пользователи платформы уже принимают, например на обмен сообщениями в рабочем пространстве. В результате возникает канал, который выглядит внутренним 
В публикации не указаны затронутые версии Salesforce или Slack, требуемая конфигурация разрешений, а также наблюдалась ли эта техника в продакшене. Эти детали остаются неясными из предоставленного материала. Что поддаётся проверке — это класс проблемы: именно проектирование разрешений, а не проектирование промптов, является тем контролем, который определяет, можно ли перепрофилировать агента в механизм доставки.