Auf den Punkt: Angreifer können durch einen einzelnen Phishing-Link einen autonomen KI-Agenten in OpenAI-Workspaces platzieren, der dann dauerhaft auf Outlook, Slack, SharePoint und Google Drive zugreift und sich selbst Genehmigungen erteilt.
Zenity Labs hat mit AgentForger eine Phishing-basierte Angriffsmethode dokumentiert, die es Angreifern ermöglicht, vollautonome KI-Agenten unbemerkt in OpenAI-Workspace-Umgebungen zu installieren und dauerhaft zur Datenexfiltration und Reconnaissance einzusetzen.
Zenity Labs‘ Sicherheitsteam hat eine Angriffsmethode namens AgentForger offengelegt, die zeigt, wie KI-Agenten in Unternehmensumgebungen zu persistenten, autonomen Bedrohungen werden können. Der Angriff beginnt mit einem Phishing-Link, über den ein Angreifer einem OpenAI Workspace Agent über natürlichsprachige Anweisungen Aufgaben zuweist. Sobald ein angemeldeter Nutzer den Link klickt, wird ein „gescmiedeter“ Agent installiert, der sich selbst zeitgesteuert aktiviert – ohne dass der Nutzer weitere Interaktionen vornehmen muss.
Der Agent erhält volle Zugriffsrechte auf Outlook, Gmail, Slack, Google Drive, SharePoint und Teams. Entscheidend ist: Da diese Integrationen bereits im Workspace existieren, werden keine OAuth-Zustimmungsbildschirme ausgelöst. Der Angreifer instruiert den Builder-Prompt, die Genehmigungsabfrage in Outlook auf „nie fragen“ umzuschalten – statt des Standards „immer fragen“. Damit handelt der Agent eigenständig, ohne Genehmigung zu benötigen. Der Agent wird zeitgesteuert – zu festgelegten Zeiten – aktiviert, scannt Outlook nach E-Mails von Angreifer-Adressen mit dem Betreff „task“, führt diese Aufträge aus und sendet Ergebnisse an die Angreifer-adresse zurück.
Für einen CISO bedeutet AgentForger eine neue Angriffsvektorkategorie: Der Bedrohungsakteur muss keine Malware installieren, keinen Code injizieren und keinen klassischen Zugang erzwingen – statt Malware wird ein Mitarbeiter zum Vehikel für einen autonomen, vertrauenswürdigen Insider-Agent. Der Agent kann Reconnaissance durchführen (Personen, Rollen, Projekte, Diskussionen identifizieren), Anmeldedaten ernten, Mitarbeiter imitieren und Phishing-Kampagnen starten – alles unter der Identität des kompromittierten Nutzers und damit schwer von legitimen Aktivitäten zu unterscheiden.
OpenAI bestätigte die Anfälligkeit und behob sie vier Tage nach Mitteilung durch Zenity. Michael Bargury, CTO der Zenity-Sicherheitsplattform für agentic AI, betont: „In einer Welt, in der KI-Agenten ausgefeilter werden, werden Angreifer natürlicherweise versuchen, diese zu beeinflussen – genauso wie sie seit jeher versuchen, Menschen zu beeinflussen.“ Die Erkenntnisse unterstreichen, dass der Sicherheitsperimeter sich mit der Einführung autonomer KI-Systeme fundamental verschiebt.
Quelle: www.csoonline.com · Erschienen 24. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.