AgentForger: Ein einfacher ChatGPT-Link könnte einen bösartigen KI-Agenten in Ihren Workspace injizieren

Zenity Labs hat am 23. Juli 2026 eine Schwachstelle im Builder von ChatGPT-Agenten öffentlich gemacht, die es ermöglichte, einen schädlichen Agenten stillschweigend zu installieren, der alle Konnektoren des Opfers (Outlook, Slack, Drive usw.) erbt. Behoben am 9. Juni - aber die Klasse der Verwundbarkeit bleibt zu beobachten.

Die Fakten

Am 23. Juli 2026 machte Zenity Labs die Schwachstelle AgentForger öffentlich bekannt, die den Agenten-Builder (« agent builder ») von ChatGPT ausnutzte, um einen schädlichen Agenten stillschweigend im Workspace eines Opfers zu installieren. Die Schwachstelle wurde OpenAI am 4. Juni 2026 über Bugcrowd gemeldet, am 5. Juni anerkannt und am 9. Juni durch die Entfernung des anfälligen URL-Parameters behoben. Die öffentliche Offenlegung erfolgte am 23. Juli. Bisher wurde kein CVE zugewiesen.

Wie es funktionierte

Ein Angreifer bereitete einen manipulierten Link mit URL-Parametern vor, die den Agenten-Builder ohne sichtbare Interaktion auslösten. Durch das Anklicken löste das Opfer die folgende Kette aus:

1. Der Builder wurde im Hintergrund ausgeführt.
2. Ein Agent wurde automatisch konfiguriert und erbt die mit dem Workspace verbundenen Dienste: Outlook, Teams, Slack, SharePoint, Google Drive.
3. Die Bestätigungsaufforderungen wurden deaktiviert.
4. Der Agent wurde veröffentlicht und dann geplant.
5. Er überwachte die E-Mail-Postfach des Opfers: Jede Nachricht mit dem Schlüsselwort « TASK » im Betreff wurde zu einem neuen Befehl - Dateisuche, Datenexfiltration, Versand von Nachrichten im Namen des Mitarbeiters.

Michael Bargury, Mitbegründer und CTO von Zenity, fasst den Angriff zusammen als « ein von Grund auf gefälschter Insider; der Angreifer muss nicht mehr eintreten, um Ihre Daten zu stehlen ».

Wer ist betroffen

Die OpenAI ChatGPT Workspaces, bei denen drei Bedingungen erfüllt waren:

• die Agenten sind im Workspace aktiviert;
• der Benutzer hat das Recht, Agenten zu erstellen;
• Drittanbieter-Anwendungen (Outlook, Slack, Drive…) wurden von einem Administrator genehmigt.

Was tun

Der anfällige URL-Parameter wurde von OpenAI entfernt, daher ist der beschriebene Exploit nicht mehr in dieser Form nutzbar. Allerdings bleibt die Klasse der Schwachstellen, die er veranschaulicht - die Manipulation eines Agenten-Builders durch einen einfachen Link mit automatischer Vererbung der Berechtigungen - ein Vektor, der genau beobachtet werden muss.

Analyse

Wir verfolgen seit mehreren Monaten eine Reihe von Vorfällen mit einem gemeinsamen Punkt: Der Kompromiss zielt nicht mehr auf den Code der KI-Anwendung ab, sondern auf den Ausführungskontext des Agenten - delegierte Berechtigungen, Konnektoren, Prompts. AgentForger gehört zu dieser Reihe zusammen mit der Hugging Face-Lücke, die mit einem autonomen Agenten zusammenhängt, und der Manipulation von Review-Agenten in Azure DevOps MCP. Das Muster ist klar: Wenn ein Agent eine Reihe von bereits genehmigten Berechtigungen erbt, wird er zu einem Risikomultiplikator, und die Angriffsfläche verschiebt sich von « wie man Code injiziert » zu « wie man einen legitimen Agenten fälscht ».