Ein manipulierter Link genügte, um einen KI-Agenten als Spion zu bauen
Zenity Labs zeigte, wie ein einziger manipulierter ChatGPT-Link in einem Unternehmen einen autonomen Agenten erstellen konnte. Er nutzte die Rechte eines Mitarbeiters und prüfte alle fünf Minuten das Postfach des Angreifers auf neue Befehle. OpenAI hat den Fehler behoben.
Sicherheitsforscher von Zenity Labs haben eine Schwachstelle veröffentlicht, die auch ohne Kontakt zu Unternehmenssoftware verständlich sein sollte. Ein einziger manipulierter ChatGPT-Link in einer gewöhnlich wirkenden E-Mail reichte, um in einem Unternehmen einen voll funktionsfähigen KI-Agenten zu erstellen. Er lief unter der Identität des Mitarbeiters, nutzte dessen bereits verbundene Apps und prüfte anschließend alle fünf Minuten das Postfach des Angreifers auf neue Anweisungen. Zenity nennt den Angriff AgentForger.
Die Mechanik ist einfacher, als sie klingt. OpenAIs Agenten-Builder akzeptierte zwei Einstellungen direkt in der Webadresse: die Startvorlage und die Anweisungen für den neuen Agenten. Die Seite fügte sie nicht nur in ein Textfeld zur Kontrolle ein, sondern führte sie aus. Ein Angreifer konnte den ganzen Aufbau als nummerierte Aufgabenliste schreiben, in einem Link verstecken und den Browser des Opfers bauen lassen. Voraussetzung war nur, dass die Person angemeldet war und bereits mindestens einen Connector wie Gmail, Outlook, Slack, Drive oder Teams autorisiert hatte. Weil diese Rechte schon bestanden, erschien kein neuer Zustimmungsdialog.
Die Anweisungen stellten außerdem jede Genehmigung auf „Nie fragen“ und ließen den Agenten nach Zeitplan laufen. In Zenitys Demonstration kartierte er die gesamte Organisation über Outlook, Slack, Teams, Drive und Kalender, fand Benutzername und Passwort einer Datenbank in einer Slack-Nachricht und schickte beides an den Angreifer. Außerdem versandte er vom Konto des Opfers Nachrichten an Kollegen mit der Bitte, eine Anmeldung auf einer kontrollierten Seite zu bestätigen.
Mehr als ein einzelner Fehler wird daraus durch das Muster. Zenity nennt die Zutaten ein tödliches Dreigespann: nicht vertrauenswürdige Eingaben von außen, Zugriff auf private Daten durch Connectoren und ein Weg, Daten wieder hinauszusenden. Die meisten Angriffe müssen Genehmigungsdialoge überwinden. AgentForger musste das nicht, weil er das Werkzeug nutzte, das diese Dialoge überhaupt konfiguriert. Herkömmliche Sicherheitssoftware beobachtet Nutzer und Geräte, nicht Agenten, die mit der legitimen Identität eines Nutzers handeln.
Es gibt wirklich gute Nachrichten. Zenity meldete den Fehler am 4. Juni über OpenAIs Bug-Bounty-Programm, OpenAI bestätigte ihn am nächsten Tag und veröffentlichte am 8. Juni eine Korrektur, die den problematischen Linkparameter entfernte. Die Forscher lobten die Reaktionszeit.
Was das für dich bedeutet: Du musst nichts patchen, aber eine Gewohnheit ist sinnvoll. Behandle einen Link, der ein KI-Werkzeug mit vorgefülltem Prompt öffnet, wie eine unerwartete Rechnung: Lies ihn, bevor du ihn ausführst. Nutzt du Assistenten mit verbundenen Arbeitskonten, lass Genehmigungsfragen trotz ihres Nervfaktors eingeschaltet und prüfe dein Konto gelegentlich auf Agenten, Automatisierungen oder geplante Aufgaben, an deren Erstellung du dich nicht erinnerst. Je mehr ein Assistent ungefragt tun kann, desto größer der Schaden, wenn jemand anderes die Anweisung liefert.
Quellen
Quellen: https://labs.zenity.io/p/agentforger-part-1-chatgpt-cross-site-agent-forgery
Anthropics Opus 5 ist kleiner und günstiger, und schlägt trotzdem sein größeres Geschwistermodell
Anthropic hat Opus 5 am 24. Juli veröffentlicht. Die Überraschung ist weniger die rohe Leistung als der Preis: In mehreren Tests erreicht oder übertrifft es das teurere Fable 5, kostet im Betrieb aber weniger.
