Ein Link soll zu einer Seite führen. Im Fall der jetzt bekannt gewordenen Schwachstelle AgentForger konnte er nach Angaben der Sicherheitsforscher von Zenity jedoch etwas sehr viel Unangenehmeres auslösen: In einer angemeldeten ChatGPT-Workspace-Umgebung ließ sich damit ein autonomer Agent anlegen, der unter der Identität eines Mitarbeiters arbeitet. Das ist keine Geschichte von einer KI, die plötzlich selbst böse wird. Es ist ein Lehrstück darüber, wie schnell ein nützliches Unternehmenswerkzeug zum Einfallstor wird, wenn Identität, Berechtigungen und Automatisierung zu eng zusammenrücken.
OpenAI hat die zugrunde liegende Schwachstelle laut Zenity zügig behoben; Hinweise auf einen Missbrauch in freier Wildbahn gibt es nicht. Für Unternehmen ist der Vorgang trotzdem relevant. Denn mit Workspace Agents können Teams nicht nur Texte zusammenfassen, sondern Apps, Dateien und wiederkehrende Abläufe verbinden. Genau diese Fähigkeit macht aus einem einzelnen Klick gegebenenfalls mehr als einen einzelnen Fehler.
Das Wichtigste in Kürze
- AgentForger beschrieb eine Schwachstelle im Builder für ChatGPT Workspace Agents, die über einen manipulierten Link ausgenutzt werden konnte.
- Voraussetzung war unter anderem ein angemeldeter Nutzer mit Zugang zu Workspace Agents und bereits verbundenen Apps oder Konnektoren.
- Der so erzeugte Agent hätte mit den Berechtigungen des betroffenen Nutzers handeln und Anweisungen aus einem Angreifer-Postfach abrufen können.
- OpenAI hat die Lücke nach Angaben der Forscher geschlossen; ein bekannter realer Missbrauch wurde nicht berichtet.
- Die praktische Lehre lautet: Agenten wie neue digitale Identitäten behandeln, mit Inventar, minimalen Rechten und kontrollierten Schreibaktionen.
Was hinter AgentForger steckt
Die Sicherheitsfirma Zenity nennt den Fehler eine speziell zugeschnittene Cross-Site-Request-Forgery-Schwachstelle, kurz CSRF. Vereinfacht gesagt brachte ein präparierter Link eine bereits angemeldete Sitzung dazu, eine Aktion auszuführen, die der Nutzer nicht bewusst angestoßen hatte. Nach der unabhängigen Darstellung von SecurityWeek nutzte der Link Parameter, die im Agent Builder eine Vorlage auswählen und Anfangsinstruktionen übergeben konnten. Damit war nicht bloß ein Chat geöffnet, sondern ein leistungsfähiger Agent vorkonfiguriert.
Das Gefährliche daran war die Verkettung. Wenn ein Mitarbeiter in ChatGPT angemeldet war, Workspace Agents nutzen durfte und etwa Gmail oder Outlook bereits verbunden hatte, konnte der neu erzeugte Agent auf diese bestehende Vertrauensbeziehung aufsetzen. Kein zusätzliches Freigabefenster für eine neue App muss erscheinen, wenn die Verbindung schon vorhanden ist. Der Angreifer hätte den Agenten laut Forschung so anweisen können, neue E-Mails als Aufgaben zu lesen und Ergebnisse zurückzusenden. Das ist ein anderes Risikoprofil als eine klassische Phishing-Mail: Nicht der Mensch führt jeden Einzelschritt aus, sondern ein dauerhaft eingerichteter Helfer.
Gerade deshalb ist die Bezeichnung „unsichtbarer Insider“ treffender als die übliche Metapher vom kompromittierten Konto. Ein kompromittiertes Konto fällt möglicherweise durch einen ungewöhnlichen Login auf. Ein Agent kann dagegen aus einer normalen Nutzeridentität heraus über erlaubte Konnektoren arbeiten. Der Unterschied zählt für die Sicherheitsüberwachung: Sie muss nicht nur fragen, wer etwas getan hat, sondern auch welcher Agent mit welchem Auftrag und welchen Werkzeugen gehandelt hat.
Warum die Korrektur allein nicht reicht
Die konkrete Lücke ist geschlossen. Daraus folgt aber nicht, dass alle verwandten Risiken verschwinden. Die offizielle Dokumentation zu Workspace Agents zeigt, wie weitreichend deren Baukasten sein kann: Agenten lassen sich mit Apps, eigenen MCP-Servern, Fähigkeiten, Dateien und Zeitplänen verbinden. Sie können zudem über eine API oder einen Zeitplan gestartet werden. Das ist produktiv, vergrößert aber die Zahl der Wege, auf denen ein falsch konfigurierter Agent tätig werden kann.
Besonders wichtig ist die Einstellung für schreibende Aktionen. Standardmäßig fragt ChatGPT bei App- und Connector-Schreibaktionen nach. Je nach App kann diese Nachfrage jedoch auf „Never ask“ gestellt oder feiner konfiguriert werden. OpenAI empfiehlt ausdrücklich, für riskante Abläufe die Schreibschutzmechanismen zu nutzen. Auch Connector-Beschränkungen helfen, etwa indem ein Agent nur an eine bestimmte Empfängerdomain senden oder nur ein bestimmtes Dokument lesen darf. Sie sind allerdings kein vollständiger Datenfilter: Eine erlaubte Suche kann nach der Dokumentation trotzdem Inhalte zurückliefern, die ein Erbauer eigentlich nicht sehen wollte.
Damit bestätigt AgentForger eine unbequeme Regel der Automatisierung: Erlaubnis ist nicht dasselbe wie Absicht. Ein Agent kann formal berechtigt sein, E-Mails zu lesen oder Dateien zu verschicken, und trotzdem zur falschen Zeit das Falsche tun. Wie der jüngst gestartete Fokus auf ChatGPT Work für kleinere Unternehmen zeigt, wandern solche Werkzeuge aus Spezialteams in den Arbeitsalltag. Die Sicherheitsfrage muss deshalb mitwachsen, nicht erst nach dem ersten Vorfall.
Ein sinnvoller Mindeststandard für Unternehmen
Der erste Schritt ist überraschend banal: Jedes Unternehmen sollte wissen, welche Agenten überhaupt existieren. Dazu gehören Eigentümer, verwendete Apps, Berechtigungen, Zeitpläne, Freigabemodus und externe Empfänger. Ein Agent ohne klaren Besitzer oder mit einem lange vergessenen Zeitplan verdient dieselbe Aufmerksamkeit wie ein ungenutztes Servicekonto.
Zweitens gilt das Prinzip der kleinsten Rechte. Ein Terminassistent braucht nicht automatisch Zugriff auf das gesamte Drive, ein Rechercheagent keine Möglichkeit zum Versand und ein Agent für einen einzelnen Prozess keine organisationsweite Veröffentlichung. Wo möglich, sollten Agenten eigene Servicekonten mit eng zugeschnittenen Rechten nutzen statt persönliche Konten. So begrenzt ein Fehler den Schaden und nimmt einzelnen Phishing-Klicks einen Teil ihrer Sprengkraft.
Drittens sollten Teams schreibende und nach außen gerichtete Aktionen streng behandeln. „Immer fragen“ ist bei Ausgaben, Löschvorgängen, Versand und Änderungen an produktiven Systemen oft die vernünftige Voreinstellung. Zusätzlich helfen Tests mit harmlosen Daten, Protokolle über Agentenläufe und Alarme für neue Agenten, neue Konnektoren oder ungewohnte Empfänger. Es geht nicht darum, Automatisierung abzuwürgen. Es geht darum, sie sichtbar und rückholbar zu machen.
Ausblick: Der Agent wird zur Identität
AgentForger war ein behobener Fehler, kein Beweis für eine alltägliche Katastrophe. Seine Bedeutung liegt trotzdem über dem einzelnen Patch. Unternehmen geben KI-Agenten zunehmend Zugriff auf Informationen und Abläufe, die bisher nur Menschen oder eng überwachte Programme berühren durften. Deshalb reicht es nicht, auf sichere Modelle oder gute Phishing-Schulungen zu hoffen.
Der nächste Reifeschritt wird sein, Agenten wie eigene digitale Mitarbeiter zu verwalten: mit einem Besitzer, einem klaren Aufgabenbereich, minimalen Rechten, nachvollziehbaren Aktionen und einem Ausschalter. Wer das jetzt einplant, kann die Vorteile der Automatisierung nutzen, ohne aus einem einzigen Link eine unbemerkte Stellenbesetzung zu machen.