Das auf KI-Sicherheit spezialisierte Unternehmen Zenity Labs hat eine kritische Schwachstelle namens „AgentForger“ im OpenAI Agent Builder entdeckt. Diese Lücke ermöglichte es Angreifern, über einen manipulierten ChatGPT-Link autonome KI-Agenten unter der Identität und mit den Zugriffsrechten eines Mitarbeiters zu erstellen. Diese Agenten konnten alle fünf Minuten neue Anweisungen vom Angreifer entgegennehmen und ausführen, ohne dass der Nutzer dies bemerkte oder weitere Genehmigungen erteilen musste. OpenAI hat die Schwachstelle nach Meldung durch Zenity Labs am 8. Juni 2026 behoben.
Wie „AgentForger“ funktionierte
Die Schwachstelle betraf den Agent Builder, der 2025 eingeführt wurde und unter chatgpt.com/agents/studio/new erreichbar ist. Normalerweise ist die Erstellung eines Workspace-Agenten ein interaktiver Prozess, bei dem Nutzer Vorlagen auswählen, Anweisungen eingeben, Tools verbinden und Einstellungen überprüfen. AgentForger nutzte jedoch zwei URL-Parameter aus: template_name und insbesondere initial_assistant_prompt. Zenity Labs stellte fest, dass die Seite den Wert von initial_assistant_prompt nicht nur in das Eingabefeld platzierte, sondern den Prompt auch automatisch abschickte und ausführte. Dies ermöglichte es Angreifern, den gesamten Erstellungsprozess eines Agenten über eine präparierte URL zu steuern.
Voraussetzung für einen erfolgreichen Angriff war, dass das Opfer bei ChatGPT angemeldet war, Zugang zu Workspace Agents hatte und mindestens einen Konnektor wie Outlook, Gmail, Slack, Google Drive, SharePoint oder Teams autorisiert hatte. Da diese Verbindungen bereits bestanden, wurde keine neue OAuth-Zustimmungsaufforderung angezeigt, die das Opfer hätte alarmieren können.
Umfang der potenziellen Angriffe
Der über AgentForger erstellte Agent operierte innerhalb der Vertrauensgrenzen des Unternehmens, nutzte die bereits autorisierten Konnektoren und holte regelmäßig neue Aufgaben vom Angreifer ab. In einer Demonstration von Zenity Labs wurde ein Agent namens „TASK Mail Operator“ erstellt, der alle bereits verbundenen Konnektoren integrierte und alle Genehmigungsanforderungen für Lese-, Schreib- und Löschvorgänge auf „Nie fragen“ setzte. Dieser Agent wurde so konfiguriert, dass er alle fünf Minuten im Outlook-Posteingang des Opfers nach E-Mails mit dem Betreff „TASK“ suchte, die Anweisungen ausführte und die Ergebnisse ungefiltert zurücksandte.
Die potenziellen Angriffe umfassten:
- Aufklärung (Reconnaissance): Der Agent konnte Daten aus Outlook, Slack, Teams, Drive, SharePoint und Kalender sammeln, um Personen, Rollen, Kanäle, aktive Projekte und wiederkehrende Besprechungen aufzulisten.
- Datenexfiltration: Es wurden vertrauliche Dokumente wie ein M&A Term Sheet, eine Vorstandspräsentation über verfehlte Umsatzziele und geplante Entlassungen sowie ein unternehmensweiter Mitarbeiterexport mit Kontakt- und Vergütungsdaten gefunden und an den Angreifer gesendet.
- Zugangsdaten-Diebstahl: Eine Suche in Slack nach dem String „pass:“ fand ein Datenbank-Benutzername-Passwort-Paar, das der Agent dem Angreifer per E-Mail zusandte.
- Identitätsmissbrauch und Phishing: Der Agent konnte über das Teams-Konto des Opfers Nachrichten an Kollegen senden, die sie aufforderten, eine SSO-Einführung auf einer vom Angreifer kontrollierten Anmeldeseite zu bestätigen. Auch Business Email Compromise (BEC) und die Genehmigung einer Überweisung von 242.500 US-Dollar wurden simuliert.
Technische Details und OpenAIs Reaktion
Zenity Labs führt AgentForger auf zwei Designentscheidungen zurück: Erstens behandelte der Builder den Parameter initial_assistant_prompt als ausführbare Eingabe statt als Nutzereingabe, die eine Bestätigung erforderte. Zweitens konnte derselbe Prompt Sicherheitseinstellungen, einschließlich Genehmigungsrichtlinien und Ausführungspläne, ändern. Dies ermöglichte es, das System, das menschliche Genehmigungen für sensible Aktionen erfordert, zu deaktivieren. Zenity Labs bezeichnete diese Kombination als „tödliches Dreigestirn“: eine URL lieferte nicht vertrauenswürdige Eingaben, Konnektoren boten Zugang zu privaten Daten, und E-Mail stellte einen Weg dar, diese Daten zu versenden.
Zenity Labs meldete AgentForger am 4. Juni 2026 über das Bugcrowd-Programm von OpenAI. OpenAI bestätigte den Bericht am nächsten Tag und behob die Schwachstelle am 8. Juni 2026, indem der betroffene URL-Parameter entfernt wurde. Zenity Labs lobte die schnelle Reaktionszeit des OpenAI-Sicherheitsteams. Bis zur Implementierung des Fixes waren alle Organisationen betroffen, die ChatGPT Workspace Agents mit zuvor autorisierten Unternehmenskonnektoren nutzten.
Thema: OpenAI. Quelle/Inspiration: The Decoder.