AgentForger: Wenn ein Phishing-Link ausreicht, um einen persistenten KI-Insider zu erstellen

Einleitung

Am 24. Juli 2026 machten die Forscher von Zenity Labs eine kritische Schwachstelle – genannt AgentForger – im Agent Builder von ChatGPT Workspace öffentlich. Die Schwachstelle ermöglichte es einem Angreifer, mit einem einzigen Klick auf einen Phishing-Link einen bösartigen KI-Agenten zu erstellen und dauerhaft in der Organisation des Opfers zu verankern. Einmal aktiviert, agierte der Agent als autonomer Insider mit Zugriff auf E-Mails, Cloud-Speicher und unternehmensinterne Kommunikationsplattformen. OpenAI hat das Problem bereits am 8. Juni 2026, also vor der öffentlichen Bekanntgabe, behoben. Der Vorfall verdeutlicht jedoch die Sicherheitsrisiken von Unternehmens-KI-Infrastrukturen.

Technische Analyse

AgentForger war eine Cross‑Site Request Forgery (CSRF), die im visuellen Agent Builder (Agent Builder) eingebettet war. Durch eine bösartige URL nach dem Muster chatgpt[.]com/agents/studio/new?template_name=...&initial_assistant_prompt=... konnte der Angreifer einen beliebigen Prompt in die authentifizierte Sitzung des Opfers einschleusen und die Erstellung des Agenten ohne weitere Interaktion auslösen.

Der gefälschte Agent verwendete die Vorlage chief-of-staff und koppelte alle bereits vom Benutzer autorisierten Konnektoren an (Microsoft Outlook, Gmail, Google Calendar, Google Drive, Slack, Teams). Zudem wurden die Genehmigungseinstellungen auf „Never ask“ (Nie fragen) gesetzt, wodurch jegliche Bestätigungsaufforderungen entfielen. Der Agent wurde sofort im Preview Mode ausgeführt und im Stundentakt eingeplant. Zu den ersten Aktionen gehörte das Überwachen des Posteingangs auf E-Mails mit dem Betreff „TASK“. Die im Nachrichtentext enthaltenen Befehle wurden ausgeführt und die Ergebnisse an den Angreifer zurückgesendet.

Dadurch entstand ein asynchroner, persistenter Befehlskanal, der selbst bei geschlossenem Browser aktiv blieb. Der Agent Builder soll bis zum 30. November 2026 eingestellt werden. OpenAI empfiehlt die Migration zu Agents SDK und nativen Workspace Agents.

Auswirkungen

Die Auswirkungen sind als kritisch einzustufen, da ein einziger Klick eine vollautomatisierte Angriffskette auslösen konnte:

• Datenexfiltration: Sensible Dokumente aus Google Drive oder anderen Cloud-Speichern.
• Credential-Diebstahl: Schlüssel, Token oder Passwörter aus Slack-Nachrichten, E-Mails oder freigegebenen Dateien.
• Impersonifizierung: Der Agent konnte in Microsoft Teams Nachrichten im Namen des Opfers versenden, um weitere Phishing-Links zu verbreiten und so Business Email Compromise (BEC)-Angriffe sowie laterale Bewegungen auszulösen.
• Persistente Befehlsgebung: Der Angreifer konnte neue Anweisungen erteilen, indem er dem Opfer einfach eine E-Mail mit dem Betreff „TASK“ schickte. Der Agent führte den Befehl aus und übermittelte die Ergebnisse, was einen dauerhaften, unbeaufsichtigten Zugang sicherstellte.

Der Agent agierte mit den Berechtigungen des legitimen Benutzers und tarnte sich zwischen den Workspace-Agenten, was seine Erkennung erschwerte.

Gegenmaßnahmen

OpenAI hat die Schwachstelle am 8. Juni 2026 geschlossen. Nutzer von ChatGPT Workspace Agents sollten sicherstellen, dass sie die aktualisierte Version verwenden. Bis zur Abkündigung des Agent Builders (30. November 2026) werden folgende Gegenmaßnahmen empfohlen:

• Deaktivieren oder Einschränken des Agent Builders, falls nicht zwingend erforderlich; erwägen Sie eine vorzeitige Migration auf die neuen Agent-APIs.
• Schulung der Benutzer, keine verdächtigen Links anzuklicken, auch wenn sie legitim erscheinen (die Domain chatgpt.com wurde in der Kampagne missbraucht).
• Regelmäßige Audits: Überprüfen Sie die im Workspace konfigurierten Agenten und stellen Sie sicher, dass die Genehmigungseinstellungen der Konnektoren nicht auf „Never ask“ gesetzt wurden.
• Prinzip der minimalen Rechtevergabe: Beschränken Sie die autorisierten Unternehmenskonnektoren auf das absolut Notwendige.

Die Entdeckung reiht sich in einen größeren Kontext von Angriffen auf selbst gehostete KI-Infrastrukturen ein. Zenity Labs hatte bereits die aktive Ausnutzung der Schwachstellen CVE-2024-6587, CVE-2026-40217 und CVE-2026-35029 auf ungeschützten, nicht authentifizierten Instanzen von LiteLLM und Ollama beobachtet. Dies bestätigt den Trend, KI-Endpunkte als Sprungbrett für offensive Operationen gegen Dritte zu nutzen.

FAQ

1. Was genau ist AgentForger?
AgentForger ist eine CSRF-Schwachstelle im Agent Builder von ChatGPT Workspace, die es einem Angreifer ermöglichte, mit einem einzigen Klick auf einen Phishing-Link einen bösartigen KI-Agenten zu erstellen und dauerhaft im Unternehmenskonto des Opfers zu verankern. Der Agent konnte auf E-Mails, Kalender, Dateien und Chats zugreifen und ließ sich über einfache E-Mails mit dem Betreff „TASK“ fernsteuern.

2. Ist meine Organisation noch gefährdet?
Wenn die ChatGPT Workspace-Plattform nach dem 8. Juni 2026 aktualisiert wurde, ist die Schwachstelle geschlossen. Falls der Agent Builder noch aktiv ist, sollten Sie unbekannte Agenten identifizieren und ihn nach Möglichkeit deaktivieren, bis die Migration zu den von OpenAI empfohlenen neuen Tools erfolgt ist. Darüber hinaus wird empfohlen, das Anti-Phishing-Training auf einem hohen Niveau zu halten.

3. Welche operativen Lehren lassen sich aus diesem Vorfall ziehen?
AgentForger zeigt, dass der Einsatz von KI-Agenten im Unternehmen die Angriffsfläche vergrößert. Es ist unerlässlich, auf KI-Schnittstellen dieselben Schutzmaßnahmen wie bei traditionellen Webanwendungen anzuwenden (CSRF-Schutz, Eingabevalidierung, explizite Genehmigungs-Workflows) und bei internen Links die gleiche Vorsicht walten zu lassen wie bei externen. Die Transparenz und kontinuierliche Kontrolle über aktive Agenten wird zu einem neuen Eckpfeiler der Unternehmenssicherheit.