Die kurze Antwort
Forscher von Zenity Labs haben AgentForger offengelegt, eine Cross-Site-Request-Forgery-Lücke (CSRF) in ChatGPTs Agent Builder, mit der ein einziger Phishing-Link einen vom Angreifer gesteuerten autonomen KI-Agenten im Unternehmen des Opfers bauen, autorisieren und ausrollen konnte — ganz ohne Bestätigungsklick. Der Builder nahm einen Teil seines Anfangszustands über URL-Parameter entgegen, und der Wert in initial_assistant_prompt wurde ausgeführt statt nur angezeigt. Ein Klick eines angemeldeten Nutzers, der Workspace Agents und mindestens eine verbundene App hatte, genügte, damit der Builder dessen Konnektoren verband, Freigabeabfragen abschaltete, einen neuen Agenten veröffentlichte und ihn nach Zeitplan laufen ließ. OpenAI wurde am 4. Juni 2026 über Bugcrowd informiert und schloss die Lücke innerhalb weniger Tage, indem der anfällige Parameter entfernt wurde.
Der Patch ist erledigt, das ist also kein Feueralarm. Es ist eine Design-Lehre für alle, die KI-Agenten ausliefern: Der Agent ist eine Identität mit dauerhaftem Zugriff, und ein gefälschter ist ein Insider. Das Interessante an AgentForger ist nicht der konkrete Bug — sondern wie gewöhnlich die Web-Lücke war und wie viel Wirkungsradius sie erbte, weil ein Agent auf vorab freigegebenen Unternehmens-Konnektoren aufsetzt.
Was Zenity offenlegte
Das KI-Red-Team von Zenity Labs veröffentlichte Ende Juli 2026 eine Untersuchung, die AgentForger beschreibt, eine Lücke im Agent Builder, der mit ChatGPTs Workspace Agents ausgeliefert wird. Der Angriff setzte nur voraus, dass das Ziel bei ChatGPT angemeldet war, Zugriff auf Workspace Agents hatte und mindestens einen bereits autorisierten Konnektor besaß — etwa Outlook, Gmail, Google Calendar, Slack oder Teams. Unter diesen verbreiteten Bedingungen genügte das Öffnen eines normal aussehenden Links, um einen funktionierenden Agenten aufzustellen, der dem Angreifer statt dem Mitarbeiter gehorchte.
Die Kette ist, wie Zenity sie beschreibt, unverblümt. Ein Klick, und der Builder „machte sich im Auftrag des Angreifers an die Arbeit, verband die vorhandenen Konnektoren des Opfers, schaltete Freigabeabfragen ab, veröffentlichte den neuen Agenten und ließ ihn nach Zeitplan von der Leine“. Statt eine klassische Command-and-Control-Infrastruktur anzufunken, beobachtete der gefälschte Agent den Posteingang des Opfers auf Nachrichten mit einem festgelegten Schlüsselwort in der Betreffzeile und behandelte jede davon als frischen Auftrag — ein leiser, signalarmer Kanal, der wie gewöhnlicher Mailverkehr aussieht.
Die Zeitachse ist wichtig dafür, wie man die Nachricht liest. Zenity meldete das Problem am 4. Juni 2026 über Bugcrowd an OpenAI; OpenAI bestätigte es am 5. Juni und behob es innerhalb weniger Tage durch Entfernen des anfälligen URL-Parameters, der konkrete Weg ist also geschlossen. Der öffentliche Bericht ist das Juli-Ereignis, kein aktiver Zero-Day. Zudem hat OpenAI angekündigt, den Agent Builder am 30. November 2026 einzustellen und Entwickler auf sein Agents SDK zu lenken — eine Erinnerung daran, dass die Fläche selbst noch jung und in Bewegung ist.
Wie ein Link einen Agenten fälschte
Die Mechanik ist ein Lehrbuch-Web-Bug in einer ungewohnten Umgebung. Der Agent Builder ließ einen Teil seines Anfangszustands über URL-Parameter ankommen, in einer Form wie /agents/studio/new?template_name=…&initial_assistant_prompt=…. Das Problem war, in Zenitys Worten, dass „beim Laden der Seite der Wert von initial_assistant_prompt nicht nur ins Prompt-Feld gesetzt — sondern automatisch abgesendet und ausgeführt wird“. Eine in einem Link eingebettete Anweisung wurde zum ersten Befehl, den der Builder ausführte, mit der Autorität dessen, der klickte.
Das ist Cross-Site Request Forgery: eine zustandsverändernde Aktion, ausgelöst durch eine präparierte Anfrage, die auf der bestehenden Sitzung des Opfers reitet. CSRF ist eine der ältesten Kategorien im Web-Security-Buch, und die üblichen Abwehrmaßnahmen — Anti-Forgery-Tokens, das Verlangen einer expliziten Nutzergeste für sensible Aktionen, keine GET-Parameter als Befehle behandeln — sind gut verstanden. Was AgentForger gefährlich machte, war nicht Neuartigkeit, sondern Hebelwirkung. Die gefälschte Anfrage überwies kein Geld und änderte keine E-Mail; sie erschuf einen autonomen Akteur, angeschraubt an Konnektoren, die der Nutzer bereits freigegeben hatte, sodass nie ein frischer Zustimmungsbildschirm erschien.
Das ist das Muster, das man verinnerlichen sollte. Wenn eine Agenten-Baufläche Anweisungen aus nicht vertrauenswürdiger Eingabe entgegennimmt und ausführt, wird Prompt-Inhalt zu Kontrollfluss. Der Wirkungsradius ist dann alles, was der Agent erreichen kann, und moderne Unternehmens-Agenten sind bewusst mit Mail, Chat, Dateien und Kalendern verdrahtet, um nützlich zu sein. Eine Lücke, die auf einer Einstellungsseite ein CSRF mittlerer Schwere wäre, wird zum Brückenkopf für einen autonomen Insider, sobald das erzeugte Objekt ein Agent mit dauerhaftem Zugriff ist.
Warum ein „autonomer Insider“ anders ist
Streicht man die ChatGPT-Spezifika, verhält sich ein gefälschter Agent wie ein kompromittiertes Mitarbeiterkonto — mit zwei Unterschieden, die gegen den Verteidiger arbeiten. Erstens ist er geduldig und automatisiert: Er läuft nach Zeitplan, braucht keine Hände an der Tastatur und kann Dateien durchsuchen, Dokumente sammeln, Nachrichten als das Opfer senden und die Organisation kartieren, ohne je einen Login-Anomalie-Alarm auszulösen, weil er eine bereits vertraute Sitzung und bereits freigegebene Konnektoren nutzt. Zweitens kann er sich vermehren. In Zenitys Szenario startet der gefälschte Agent internes Phishing, das weitere kompromittierte Agenten erzeugt und einen Klick in eine sich ausbreitende Population von Insidern verwandelt.
Das durchbricht einige bequeme Annahmen. Zustimmung soll der Kontrollpunkt für Konnektor-Zugriff sein, doch eine einzige, vor Wochen erteilte Freigabe genügte hier — der Agent erbte sie. Überwachung ist auf menschliche Muster abgestimmt, aber ein Agent, der Aufträge aus Posteingangs-Nachrichten mit einer unscheinbaren Betreffzeile entgegennimmt, sieht nicht wie Exfiltration aus. Und Identity-Governance verfolgt üblicherweise Nutzer und Dienstkonten, während Agenten oft in einem blinden Fleck existieren: Niemand besitzt das Inventar, welche Agenten existieren, wer sie erstellt hat und was sie berühren können. AgentForger ist eine Vorschau auf die Klasse des Problems, kein Einzelfall.
Was es für Software-Teams in den USA & der DACH-Region bedeutet
Die erste Verschiebung ist begrifflich: Ein KI-Agent ist eine privilegierte Identität, kein UI-Feature. Wenn Sie Agenten ausrollen — ob Dritt-Agenten wie diese oder selbst gebaute Systeme — brauchen sie denselben Lebenszyklus wie ein Dienstkonto: einen Eigentümer, einen Inventar-Eintrag, beschränkte Rechte, einen Audit-Trail und einen Weg, sie schnell zu widerrufen. „Ein Agent kann X“ sollte gelesen werden als „ein neuer Principal in Ihrer Umgebung kann X“ und mit dem geringsten Privileg versehen werden, das ihn noch arbeiten lässt. Breite, dauerhafte Konnektor-Freigaben sind der Multiplikator, der ein Routine-CSRF in ein domänenweites Problem verwandelte.
Die zweite Verschiebung ist eine harte architektonische Regel für alle, die Agenten-Flächen bauen: Lassen Sie niemals nicht vertrauenswürdige Eingabe zu einer ausgeführten Anweisung werden, und lassen Sie niemals eine einzige Zustimmung offene künftige Aktionen autorisieren. Halten Sie einen menschlichen Freigabeschritt bei jedem Agenten aufrecht, der auf Daten oder Menschen wirken kann, verlangen Sie eine explizite Same-Origin-Bestätigung, bevor ein Agent veröffentlicht oder ein Konnektor gewährt wird, und behandeln Sie Prompts, die über Links, Dokumente oder E-Mails ankommen, als zu sandboxende Daten, nicht als auszuführende Befehle. Es sind dieselben Lehren, die die Branche immer wieder neu lernt — Eingabevalidierung, CSRF-Tokens, Least Privilege — nun angewandt dort, wo das ausgeführte Objekt ein autonomer Arbeiter ist.
Für regulierte Produkte ist die Governance-Ebene nicht optional. In FinTech und HealthTech sitzt ein an Postfächer und Dokumentenspeicher angebundener Agent nah an personenbezogenen und finanziellen Daten, ein gefälschter ist also ein potenzieller DSGVO-Vorfall mit Meldefristen, keine Laborkuriosität. Für beaufsichtigte Finanzunternehmen greifen zusätzlich DORA und die BaFin-Erwartungen an das Management von IKT-Risiken und Drittanbietern — ein autonomer Agent auf Basis eines externen Dienstes fällt genau in diesen Bereich. Und nach der EU-KI-Verordnung trägt ein automatisiertes System, das folgenreiche Aktionen über Personen ausführt, Dokumentations-, Aufsichts- und Protokollierungspflichten — „ein Dritt-Agent hat das autonom getan“ ist keine Antwort, die ein Prüfer akzeptiert. Verankern Sie Agenten-Identitäten, -Rechte und -Aufsicht jetzt in Ihrem sicheren SDLC und Ihrem Lieferanten-Risikoregister, solange die Zahl der Agenten noch klein genug ist, um sie von Hand zu inventarisieren.
Was diese Woche zu tun ist
Eine kurze, praktische Abfolge, die die Offenlegung in Handeln statt Angst verwandelt:
- Inventarisieren Sie Ihre Agenten. Listen Sie jeden KI-Agenten in Ihren Tenants — ChatGPT-Workspace-Agenten, Copilot-Agenten und selbst gebaute — mit Eigentümer, seinen Konnektoren und dem, was jeder erreichen kann. Man kann nicht steuern, was man nicht gezählt hat.
- Beschränken Sie Konnektoren auf Least Privilege. Kürzen Sie dauerhafte Freigaben, damit ein Agent nur die Postfächer, Kanäle und Laufwerke berührt, die er wirklich braucht, und nie mit dem vollen Zugriff eines Menschen oder einer Produktions-Deployment-Identität läuft.
- Halten Sie einen Menschen für Aktionen in der Schleife. Verlangen Sie eine explizite Freigabe, bevor ein Agent im Namen einer Person sendet, bearbeitet oder teilt, und bevor ein neuer Agent veröffentlicht oder ein Konnektor gewährt wird. Lassen Sie keine vergangene Zustimmung für künftige Aktionen einstehen.
- Instrumentieren Sie für Agenten-Verhalten. Alarmieren Sie bei neu erstellten oder geänderten Agenten, bei Konnektor-Freigaben und bei geplanten oder automatisierten Schüben von Konnektor-Aktivität — den Signalen, die ein gefälschter Agent erzeugt — statt sich allein auf menschliche Login-Anomalien zu verlassen.
- Härten Sie Ihre eigenen Agenten-Bauflächen. Wenn Sie etwas ausliefern, das Agenten zusammenstellt oder konfiguriert, führen Sie niemals Anweisungen aus URL-Parametern automatisch aus, fügen Sie Anti-CSRF-Schutz an zustandsverändernden Routen hinzu und verlangen Sie eine frische, Same-Origin-Bestätigung, bevor ein Agent live geht.
Nichts davon ist ein Argument gegen das Bauen auf Agenten — der Produktivitätsnutzen ist real und die Richtung steht fest. Doch AgentForger ist ein klares Signal: In dem Moment, in dem ein Agent mit dem Zugriff Ihrer Nutzer handeln kann, ist er Teil Ihres Sicherheitsprogramms, keine Bequemlichkeit, die außerhalb davon liegt.
Häufig gestellte Fragen
Was ist die AgentForger-Schwachstelle?
AgentForger ist eine Cross-Site-Request-Forgery-Lücke (CSRF), die Zenity Labs in ChatGPTs Agent Builder offengelegt hat. Ein präparierter Link trug eine Anweisung in einem URL-Parameter (initial_assistant_prompt), die der Builder beim Laden automatisch absendete und ausführte. Ein Klick eines angemeldeten Nutzers mit Workspace Agents und einer verbundenen App genügte, um dessen Konnektoren zu verbinden, Freigabeabfragen abzuschalten, einen neuen Agenten zu veröffentlichen und ihn unter Kontrolle des Angreifers einzuplanen. OpenAI wurde am 4. Juni 2026 informiert und behob es innerhalb weniger Tage.
Wurde ChatGPT AgentForger aktiv ausgenutzt?
Es gibt keine öffentlichen Hinweise auf eine Ausnutzung in freier Wildbahn. Es wurde von Zenity Labs gefunden und verantwortungsvoll offengelegt, am 4. Juni 2026 an OpenAI gemeldet, am 5. Juni bestätigt und innerhalb weniger Tage durch Entfernen des anfälligen Parameters behoben. Die Forschung wurde Ende Juli 2026 veröffentlicht — diese Veröffentlichung ist das Nachrichtenereignis; die Behebung liegt davor.
Wie konnte ein Link einen bösartigen KI-Agenten ausrollen?
Der Builder nahm einen Teil seines Anfangszustands über URL-Parameter entgegen, und der in initial_assistant_prompt übergebene Wert wurde ausgeführt, nicht nur angezeigt. Ein Phishing-Link konnte den Builder anweisen, einen Agenten aus den bereits autorisierten Konnektoren des Opfers zusammenzustellen, den menschlichen Freigabeschritt zu deaktivieren, ihn zu veröffentlichen und einzuplanen. Da das Opfer bereits angemeldet war und diese Konnektoren freigegeben hatte, erschien keine neue Zustimmungsabfrage.
Was konnte der gefälschte Agent tun?
Die Forscher beschrieben einen autonomen Insider. Der gefälschte Agent konnte alles erreichen, was die Konnektoren des Opfers erlaubten — Outlook, Gmail, Slack, Teams, SharePoint, Google Drive — lief nach Zeitplan und nahm Aufträge über den Posteingang des Opfers entgegen. Von dort konnte er Dateien durchsuchen und exfiltrieren, Zugangsdaten sammeln, den Mitarbeiter imitieren, die Organisation kartieren und internes Phishing versenden, das weitere kompromittierte Agenten erzeugte.
Was sollten Teams tun, die auf KI-Agenten bauen?
Behandeln Sie jeden Agenten in Ihrem Bedrohungsmodell als Maschinenidentität. Halten Sie einen menschlichen Freigabeschritt bei allem aufrecht, das handeln kann, beschränken Sie Konnektor-Rechte auf Least Privilege und lassen Sie niemals eine Zustimmung offene künftige Aktionen abdecken. Inventarisieren Sie, welche Agenten existieren, wer sie besitzt und worauf sie zugreifen können; alarmieren Sie bei neuen oder geänderten Agenten und bei automatisierter Konnektor-Aktivität. Führen Sie auf Ihren eigenen Bauflächen niemals Anweisungen aus URL-Parametern automatisch aus und verlangen Sie eine explizite Same-Origin-Bestätigung, bevor ein Agent live geht.
Quellen
Zenity Labs — AgentForger, Part 1: ChatGPT Cross-Site Agent Forgery (Primärforschung)
The Hacker News — ChatGPT AgentForger Flaw Could Deploy Rogue Workspace Agents via a Phishing Link, Juli 2026
The Register — One ChatGPT link could smuggle a rogue AI agent into your company, 23. Juli 2026
SecurityWeek — OpenAI Fixes ChatGPT Agent Flaw That Could Let Attackers Forge an AI Insider, Juli 2026