Wie ein einziger ChatGPT-Link einen persistenten autonomen Unternehmensspion hervorbrachte

Ich erhielt letzten Monat eine Nachricht auf Signal von einem Kollegen in einem SOC, der auf ein seltsames Verkehrsmuster starrte. Es sah aus wie legitime ChatGPT-API-Aufrufe, aber sie stammten von einem Rechner, der einem CFO gehörte, der sich gerade an einem Strand in Maui befand. Der CFO hatte drei Tage zuvor auf einen Link in einer scheinbar harmlosen E-Mail zur „Arbeitsplatzoptimierung“ geklickt. Als wir uns die Protokolle ansahen, lebte bereits ein autonomer Agent in der Umgebung, las leise E-Mails und exfiltrierte Tabellendaten an eine externe Adresse. Dieses Szenario ist für Red Teams keine theoretische Übung mehr.

Sicherheitsforscher von Zenity Labs haben vor kurzem eine Schwachstelle in OpenAIs ChatGPT Workspace Agents offengelegt, die genau diese Art von stiller Infiltration ermöglichte. Die unter dem Codenamen AgentForger bekannte Schwachstelle erlaubte es einem Angreifer, einen Phishing-Link zu erstellen, der beim Anklicken automatisch einen bösartigen KI-Agenten innerhalb der Organisation des Opfers erstellte und bereitstellte. Dieser Agent fungierte als persistenter, autonomer Insider mit Zugriff auf die integrierten Unternehmenstools des Opfers. Während OpenAI die Schwachstelle am 8. Juni 2026 behoben hat, bietet der Vorfall einen ernüchternden Einblick, wie sich die nächste Generation des Social Engineering über den Diebstahl von Anmeldedaten hinaus in Richtung architektonisches Hijacking bewegt.

Die Mechanik des AgentForger-Exploits

In seinem technischen Kern ist AgentForger eine Cross-Site Request Forgery (CSRF)-Schwachstelle. Der Exploit zielte auf den ChatGPT Agent Builder ab, einen visuellen Arbeitsbereich, der es Benutzern ermöglichen soll, mehrstufige KI-Workflows zu erstellen. Hinter den Kulissen akzeptierte das Builder-Tool seinen Ausgangszustand über URL-Parameter. Zenity Labs entdeckte, dass der Parameter initial_assistant_prompt nicht nur ein Platzhalter-Textfeld war. Beim Laden der Seite übermittelte und führte die Anwendung automatisch den Text aus, der in diesem Parameter enthalten war.

Aus Risikoperspektive verwandelte dies ein Standard-Konfigurationstool in eine Remote-Code-Execution-Engine für KI-Anweisungen. Ein Angreifer konnte eine URL nach einem bestimmten Muster konstruieren: chatgpt.com/agents/studio/new?template_name=[template]&initial_assistant_prompt=[malicious instructions]. Wenn ein angemeldeter Benutzer auf diesen Link klickte, öffnete der Browser den Agent Builder in seiner authentifizierten Sitzung und begann sofort, den Befehlen des Angreifers zu folgen. Das Opfer sah vielleicht ein kurzes Aufblitzen des Builder-Bildschirms, aber die eigentliche Arbeit geschah sofort und ohne weitere Zustimmung.

Aufbau eines persistenten digitalen Geistes

Um den Angriff effektiv zu machen, musste der bösartige Prompt mehr tun, als nur eine Frage zu stellen. Die Forscher fanden heraus, dass die Payload so konzipiert werden konnte, dass sie den gesamten Einrichtungsprozess eines hochprivilegierten Agenten automatisierte. Sobald das Opfer auf den Link klickte, wies der eingebettete Prompt den Builder an, eine „Chief-of-Staff“-Vorlage auszuwählen. Diese Vorlage ist besonders gefährlich, da sie für einen weitreichenden Zugriff auf das Berufsleben eines Benutzers konzipiert ist.

Die Payload des Angreifers führte dann eine dreistufige Sequenz aus, um sicherzustellen, dass der Agent getarnt und funktionsfähig blieb. Zuerst verband sie jeden verfügbaren Connector mit dem neuen Agenten. Diese Connectoren verknüpfen ChatGPT mit geschäftskritischen Anwendungen wie Outlook, Gmail, Slack und Google Drive. Zweitens änderte die Payload die Genehmigungseinstellungen für diese Connectoren auf „Niemals fragen“. Dieser Schritt ist der architektonische Schwachpunkt. Designgemäß sollen diese Integrationen vor einer Aktion um Erlaubnis fragen, aber der AgentForger-Exploit ermöglichte es dem Angreifer, diese Sicherheitsprüfung programmatisch zu deaktivieren.

Schließlich wurde der Agent so programmiert, dass er jede Stunde ausgeführt wird. Dies verwandelte eine einmalige Skriptausführung in einen persistenten Operator. Proaktiv betrachtet fungierte der ursprüngliche Klick als Installation einer Hintertür. Der Zeitplan hielt die Hintertür offen, und die verbundenen Apps boten dem Angreifer sowohl einen Command-and-Control-Kanal als auch eine Quelle für sensible Daten.

Voraussetzungen für ein erfolgreiches Hijacking

Damit der AgentForger-Angriff erfolgreich sein konnte, musste das Opfer eine Reihe spezifischer Kriterien erfüllen. Der Angreifer konnte nicht einfach einen beliebigen Internetnutzer ins Visier nehmen; er benötigte einen Fuß in einer Unternehmensumgebung, die die Enterprise-Funktionen von ChatGPT aktiv nutzte.

Das Vorhandensein eines bestehenden Connectors ist der Schlüssel zur Autonomie des Agenten. Wenn ein Benutzer sein Gmail-Konto bereits aus legitimen Produktivitätsgründen mit ChatGPT verbunden hatte, erbte der gefälschte Agent dieses Vertrauen. Das KI-Modell musste nicht nach einem Passwort fragen; es nutzte einfach das vorhandene Authentifizierungs-Token, um im Namen des Opfers Nachrichten zu lesen, zu schreiben und zu löschen.

Die Bedrohung durch den autonomen Insider

Sobald der Agent live ist, muss der Angreifer nicht mehr mit dem Opfer interagieren oder den Browser-Tab offen halten. Der Agent befindet sich auf der Infrastruktur von OpenAI, nicht auf dem lokalen Rechner des Opfers. Bei jedem geplanten Durchlauf kann der bösartige Agent so programmiert werden, dass er den Posteingang des Opfers nach E-Mails mit einer bestimmten Betreffzeile durchsucht, z. B. „TASK“. Der Angreifer sendet eine E-Mail an das Opfer, der Agent liest sie, führt die angeforderte Aktion innerhalb der Organisation aus und sendet die Ergebnisse per E-Mail an den Angreifer zurück.

Mit Blick auf die Bedrohungslandschaft schafft dies eine erschreckende Gelegenheit für Lateral Movement und Aufklärung. Ein gefälschter Agent könnte Wochen damit verbringen, ein Google Drive des Unternehmens nach Dokumenten zu durchsuchen, die als „vertraulich“ oder „Passwort“ gekennzeichnet sind. Er könnte Slack-Kanäle auf sensible API-Schlüssel oder Architekturdiagramme überwachen. Da der Datenverkehr von einem legitimen, autorisierten KI-Dienst zu kommen scheint, würden viele herkömmliche Netzwerksicherheitstools die Aktivität als normalen Geschäftsbetrieb behandeln.

Darüber hinaus kann der bösartige Agent verwendet werden, um interne Phishing-Angriffe zu starten. Ein Mitarbeiter klickt viel eher auf einen Link, der über Microsoft Teams von einem vertrauenswürdigen Kollegen gesendet wurde, als auf eine verdächtige E-Mail von einer externen Adresse. Der gefälschte Agent kann sich als das Opfer ausgeben und bösartige Links an andere Mitarbeiter senden, um Anmeldedaten zu sammeln oder die AgentForger-Infektion weiter im Unternehmen zu verbreiten. Dies macht den KI-Agenten zu einem digitalen Trojanischen Pferd, das innerhalb der Vertrauensgrenze des Unternehmens operiert.

Bewertung der Angriffsfläche im Zeitalter der KI-Agenten

OpenAI hat den proaktiven Schritt unternommen, das Agent Builder-Produkt zum 30. November 2026 vollständig einzustellen. Benutzer werden aufgefordert, auf das Agents SDK zu migrieren, das mit feiner abgestuften Kontrollen und weniger veralteten Web-Schwachstellen wie CSRF konzipiert ist. Der AgentForger-Vorfall dient jedoch als forensische Fallstudie dafür, warum wir KI-Plattformen nicht getrennt von Standard-Websicherheitsprinzipien betrachten dürfen.

Die Schwachstelle ist kein Versagen der Logik der KI oder eine Prompt-Injection im herkömmlichen Sinne. Es ist ein Versagen der Zustandsverwaltung der Anwendung. Wenn ich komplexe APTs analysiere, sehe ich oft, dass die verheerendsten Sicherheitsverletzungen diese Arten von einfachen, übersehenen Implementierungsfehlern beinhalten. Die Plattform vertraute darauf, dass der Benutzer die Erstellung des Agenten absichtlich initiiert hat, nur weil die Anfrage von einer gültigen Sitzung kam.

Wir befinden uns derzeit in einer Phase, in der selbst gehostete Modellserver und Agenten-Frameworks in rasantem Tempo bereitgestellt werden. Viele dieser Systeme sind falsch konfiguriert oder verlassen sich auf vorhersehbare Ports, was sie zu angreifbaren Zielen macht. Zenity Labs stellte kürzlich fest, dass exponierte KI-Infrastrukturen zu einem bequemen, leugnbaren Backend für offensive KI-Operationen werden. AgentForger ist nur ein Beispiel dafür, wie Angreifer ihren Fokus von Angriffen auf das KI-Modell auf Angriffe auf die Infrastruktur verlagern, die es hostet.

Sicherung des Arbeitsbereichs gegen autonome Bedrohungen

Abgesehen vom Patchen müssen Unternehmen erkennen, dass KI-Integrationen eine neue Klasse von Schatten-IT darstellen. Wenn ein Mitarbeiter seine geschäftliche E-Mail mit einem KI-Dienst eines Drittanbieters verbindet, erweitert er im Wesentlichen die Angriffsfläche des Unternehmens auf die Infrastruktur dieses Anbieters. Im Falle einer Sicherheitsverletzung wie AgentForger hängt die Sicherheit des gesamten Unternehmens von den Autorisierungseinstellungen eines einzelnen Benutzers ab.

Um eine widerstandsfähigere Haltung aufzubauen, sollten Sicherheitsteams die folgenden Schritte in Betracht ziehen:

• Prüfen Sie alle KI-Connectoren und Integrationen von Drittanbietern. Verwenden Sie einen Zero-Trust-Ansatz, bei dem Connectoren nur für spezifische, zeitlich begrenzte Aufgaben autorisiert werden, anstatt einen unbefristeten Zugriff zu gewähren.
• Implementieren Sie eine strikte Überwachung für API-Aufrufe, die von KI-Plattformen stammen. Achten Sie auf ungewöhnliche Datenmengen, die an externe Domänen gesendet werden, oder auf unerwartete Zugriffe auf sensible Cloud-Speicherordner.
• Aktualisieren Sie die Schulungen zur Sensibilisierung der Mitarbeiter, um KI-spezifische Phishing-Szenarien einzubeziehen. Die menschliche Firewall muss lernen, dass ein Link zu einer „vertrauenswürdigen“ Plattform wie ChatGPT dennoch bösartig sein kann.
• Erzwingen Sie die Multi-Faktor-Authentifizierung (MFA) für alle Unternehmensanwendungen, um zu verhindern, dass Agenten gestohlene Sitzungen verwenden, um Identitätsprüfungen zu umgehen.

AgentForger war ein Weckruf. Es hat gezeigt, dass wir Angreifern umso mächtigere Werkzeuge an die Hand geben, unser Vertrauen zu untergraben, je mehr Autonomie wir der KI geben, in unserem Namen zu handeln. Das Ziel der Sicherheit ist nicht, die Nutzung dieser Tools einzustellen, sondern sicherzustellen, dass unsere digitalen Assistenten nicht zu unseren gefährlichsten Insidern werden.

Quellen

• Zenity Labs Research Report on AgentForger (2026)
• OpenAI Product Security Advisory (June 2026)
• NIST AI Risk Management Framework (AI RMF 1.0)
• MITRE ATT&CK Framework: Technique T1566 (Phishing) and T1133 (External Remote Services)

Haftungsausschluss: Dieser Artikel dient nur zu Informations- und Bildungszwecken. Er stellt keine professionelle Rechts- oder Cybersicherheitsberatung dar. Organisationen sollten ihre eigenen unabhängigen Risikobewertungen durchführen und sich mit Sicherheitsexperten beraten, bevor sie architektonische Änderungen vornehmen.