Ein Mitarbeiter klickt auf einen Link, der wie ein harmloser ChatGPT-Chat aussieht. Sekunden später läuft in der Firma ein KI-Agent, den ein Fremder gebaut hat — mit den Zugriffsrechten dieses Mitarbeiters, mit ausgeschalteten Rückfragen und mit voller Bewegungsfreiheit. Der Angriff heißt AgentForger und wurde von den Forschern von Zenity Labs aufgedeckt.
SO funktioniert der Trick
Angriffspunkt war OpenAIs Agent Builder, mit dem Firmen eigene KI-Agenten in ihrem ChatGPT-Arbeitsbereich zusammenklicken. Über einen bestimmten Parameter in der Adresse ließ sich dieser Bauvorgang von außen anstoßen und gleich abschließen: bauen, autorisieren, in Betrieb nehmen — alles in einem Klick des Opfers.
Zenity nennt das Muster Cross-Site Agent Forgery, in Anlehnung an die klassische Cross-Site-Request-Forgery. Der Unterschied ist die Tragweite: Ein klassischer Angriff dieser Art klaut eine Sitzung oder löst eine einzelne Aktion aus. Hier entstand ein dauerhafter Mitspieler im Firmennetz.
GEFAHR: Was der falsche Kollege konnte
Weil der Agent innerhalb der Vertrauensgrenze der Firma lief und die Identität des Opfers vollständig erbte, war er kein Eindringling mehr, sondern ein Insider. Zenity Labs demonstrierte, dass ein solcher gefälschter Agent
- die Umgebung kartiert — welche Dienste, welche Ordner, welche Verbindungen es gibt,
- sensible Dateien und Zugangsdaten einsammelt,
- Mitarbeiter imitiert, weil er in ihrem Namen schreibt,
- und interne Phishing-Kampagnen startet, die wiederum neue kompromittierte Agenten erzeugen.
Das ist die eigentlich unangenehme Pointe: Der Angriff vermehrt sich selbst. Jeder Kollege, der auf die interne Nachricht klickt, liefert einen weiteren Agenten.
Die gute Nachricht: Es ist längst gepatcht
Zenity meldete die Lücke im Rahmen einer verantwortungsvollen Offenlegung. OpenAI bestätigte den Bericht laut den Forschern innerhalb eines Tages und schloss die Lücke innerhalb von vier Tagen — behoben war sie am 8. Juni 2026. Der Fix bestand darin, den Parameter zu entfernen, über den der Bauvorgang von außen ausgelöst werden konnte.
Die technischen Details veröffentlichte Zenity erst am 23. Juli. Es gibt also keine offene Lücke, die du schließen müsstest — wohl aber eine Baustelle, die dich betrifft.
Was du daraus für deine eigene KI mitnimmst
Der Kern des Problems ist nicht ein einzelner Parameter, sondern eine neue Klasse von Angriffen: Wer einen KI-Agenten anlegen darf, legt eine handelnde Identität an. Und Identitäten sind das Wertvollste in jedem Netz. Diese drei Fragen solltest du für deinen Arbeitsbereich — oder dein Homelab — beantworten:
- Wer darf Agenten bauen? Wenn jeder Mitarbeiter das darf, ist jeder Mitarbeiter ein Angriffsziel. In vielen Fällen reicht eine kleine Gruppe mit dieser Berechtigung.
- Bleiben Rückfragen erzwungen? Ein Agent, dem man die Bestätigungsschritte abschalten kann, ist ein Agent ohne Bremse. Freigaben sollten sich zentral erzwingen lassen, nicht pro Agent abwählbar sein.
- Siehst du, welche Agenten laufen? Ohne Übersicht über bestehende Agenten fällt ein zusätzlicher nie auf. Ein regelmäßiger Blick in die Liste ist die billigste Erkennung, die es gibt.
FAZIT: KI-Agenten sind Benutzerkonten
Wir behandeln Agenten noch wie Werkzeuge. AgentForger zeigt, dass sie wie Konten mit Handlungsvollmacht zu behandeln sind — mit Rechteverwaltung, Übersichtsliste und Löschprozess. OpenAI hat schnell und richtig reagiert. Die Bauart des Problems bleibt aber überall dort, wo Agenten mit fremden Rechten arbeiten.