Auf den Punkt: Angreifer konnten über CSRF-Lücke autonome KI-Agenten mit Zugriffsrechten von Mitarbeitern in ChatGPT einschleusen und E-Mails automatisiert ausspähen, die Lücke wurde innerhalb von drei Tagen geschlossen.
Zenity Labs entdeckte die Schwachstelle AgentForger in OpenAIs ChatGPT Workspace Agents, die es Angreifern erlaubte, über manipulierte URLs speziell konfigurierte KI-Agenten zu erstellen, die Befehle von externen E-Mail-Adressen entgegennehmen. OpenAI behob die Lücke innerhalb von drei Tagen nach der Meldung.
Die Sicherheitslücke AgentForger beruhte auf einer speziellen Form von Cross-Site Request Forgery (CSRF) im Agent Builder von ChatGPT. Angreifer konnten durch die Manipulation zweier Parameter in einer Initialisierungs-URL die Agenten-Erstellung übernehmen: Der erste Parameter wählte eine Vorlage aus, der zweite übergab direkt Anweisungen an den Erstellungsprozess. Mit der Chief-of-Staff-Vorlage und automatisierten Startbefehlen ließ sich ein präparierter Agent erstellen, der auf Befehle von einer externen E-Mail-Adresse reagierte.
Die Ausnutzung erforderte, dass ein bereits autorisierter Nutzer mit Zugriff auf Workspace Agents und verbundenen Schnittstellen wie Gmail oder Outlook auf einen präparierten Link klickte. Da die Autorisierung bereits bestand, wurde kein OAuth-Bestätigungsfenster angezeigt. Der erstellte Agent operierte anschließend im Hintergrund und führte per E-Mail gesendete Befehle aus. Michael Bargury, Mitbegründer und CTO von Zenity Labs, formulierte die Sicherheitsimplikation präzise: Damit entstand nicht nur eine Phishing-Anfrage, sondern ein automatisierter Insider-Angreifer, der mit den Zugriffsrechten des compromittierten Mitarbeiters agierte und bestehende Sicherheitskontrollen umging.
Der installierte Agent konnte konkret ungelesene Nachrichten verarbeiten, Daten auslesen und diese unverschlüsselt an die Adresse des Angreifers zurückübertragen. Dies hätte es ermöglicht, E-Mail-Inhalte, Anhänge und andere in den verbundenen Diensten gespeicherte Informationen zu exfiltrieren, ohne dass traditionelle Netzwerk-Intrusion-Detection-Systeme oder Datenverlust-Präventionslösungen das erkennen hätten können.
Zenity Labs meldete die Schwachstelle am 4. Juni vertraulich an OpenAI. Der Hersteller bestätigte den Befund innerhalb eines Tages und behob die Lücke durch eine Anpassung der Parameterverarbeitung im Agent Builder am 8. Juni vollständig. Das schnelle Patch-Management verhinderte einen längeren Exploitierungszeitraum in der Produktionsumgebung.
Quelle: www.it-daily.net · Erschienen 27. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.