LONDON (IT BOLTWISE) – Sicherheitsforscher haben eine kritische Schwachstelle in ChatGPT Workspace Agents offengelegt: Ein einziger Phishing-Link kann im angemeldeten Kontext einen attacker-kontrollierten Agent aufbauen, ihn mit Connector-Zugriffen ausstatten und ohne weitere Bestätigung dauerhaft aktivieren. Der Angriff läuft über eine CSRF-Forgeriestruktur im Agent Builder, der Drag-and-drop-Workflow für mehrstufige Agenten. Damit entsteht ein persistent arbeitender Insider-Ersatz, der Aufgaben aus E-Mails abholt und Ergebnisse an den Angreifer zurücksendet. Für Unternehmen verschiebt sich dadurch die Risikobewertung von „nur Bedienfehler“ hin zu „Agent-Integritätsbruch“ im Authentifizierungs- und Freigabemodell.
Die Sicherheitslage rund um KI-Agenten bekommt eine neue Qualität, weil sich aus einem einzelnen Klick ein dauerhaft steuerbares Tool bauen lässt. Im Zentrum steht die Schwachstelle „AgentForger“, die es nach der vorliegenden Analyse ermöglicht, über einen manipulierten ChatGPT-Workflow innerhalb der Workspace-Umgebung einen autonom agierenden Angreifer-Agenten zu erstellen, zu autorisieren und zu deployen. Entscheidend ist dabei nicht nur, dass ein Agent Aktionen ausführen kann, sondern dass die Plattform offenbar davon ausgeht, der Nutzer habe die nötigen Schritte wirklich bewusst angestoßen und freigegeben. Genau an dieser Vertrauenskette setzt der Angriff an.
Der technische Kern wird als CSRF-Fall (Cross-Site Request Forgery) beschrieben. Vereinfacht gesagt genügt ein Phishing-Link, der für das Opfer wie eine legitime ChatGPT-Linkführung aussieht, während der Nutzer bereits im ChatGPT-Account angemeldet ist. Beim Öffnen des Links startet der Agent Builder im authentifizierten Session-Kontext und erzeugt einen neuen Agent innerhalb der „Trust Boundary“ des Workspace-Setups. Weil dabei Parameter über die URL in einen Initialisierungszustand fließen, der anschließend automatisch übernommen und ausgeführt wird, braucht der Angreifer keine weitere Interaktion nach dem Klick. Der Builder ist dabei besonders relevant: Er bietet eine visuelle Drag-and-drop-Canvas zum Erstellen mehrstufiger Agent-Workflows, und genau diese Oberfläche wird zum Einfallstor.
Wie eng dieser Mechanismus an konkreten URL-Parametern hängt, wird in der Beschreibung besonders deutlich. Laut den getesteten Bedingungen akzeptiert das Tool einen Initial-State über URL-Parameter; zwei davon sollen Template-Namen und einen „initial_assistant_prompt“ transportieren. Kritisch ist die beobachtete Abweichung vom erwarteten Verhalten: Der Inhalt wird nicht nur in ein Texteingabefeld eingesetzt, sondern beim Seitenaufruf automatisiert übermittelt und ausgeführt. Dadurch kann ein Angreifer den ersten Befehl im Builder bereits per URL „vorverkabeln“. Das wird in der Analyse als Missbrauch eines Prompt-Funnels formuliert: Ein Prompt, der sich wie legitime Konfiguration liest, verwandelt sich in den Startpunkt für die tatsächliche Agentenlogik.
Damit das Ganze im Unternehmenskontext nützlich wird, braucht der Angriff mehrere Voraussetzungen. Das Opfer muss in ChatGPT eingeloggt sein, es muss Zugriff auf Workspace Agents haben und mindestens ein bereits autorisierter Connector vorhanden sein – also eine bestehende Integration in typische Workspace-Dienste wie Outlook, Gmail, Google Kalender, Google Drive, Slack oder Teams. Der Grund ist strukturell: Der Build-Flow nutzt ein „chief-of-staff“-Template, das offenbar dafür ausgelegt ist, relevante Informationen aus den verbundenen Apps in eine operative Zusammenfassung zu ziehen. In der Missbrauchsvariante wird der Agent so konfiguriert, dass er die Connector-Zugriffe ohne erneute Nutzerfreigaben nutzt, indem jeder Connector auf einen Modus wie „Never ask“ gesetzt wird. Zusätzlich wird eine Persistenzschicht eingezogen: Der Agent wird live geschaltet und so eingeplant, dass er stündlich läuft.
Die eigentliche „Loop“-Logik der Rogue-Aktivität ist in der Analyse als Abfolge von Schritten skizziert. Der Agent soll zunächst auf Basis des Template erstellt werden, anschließend werden die Connector-Zugriffe angehängt und auf automatische Ausführung ohne Rückfragen getrimmt. Danach wird eine Zeitplanung eingerichtet, die den Agenten als wiederkehrenden Prozess etabliert. Bei jedem Lauf soll der Agent E-Mails prüfen, deren Betreff mit einem bestimmten Schlüsselwort—„TASK“ – beginnt, definierte Aufgaben daraus ausführen und die Ergebnisse an eine vom Angreifer kontrollierte Adresse zurückmelden. Ein weiterer Hebel ist der sogenannte „Preview Mode“: Dieser ist eigentlich dafür gedacht, Agenten vor der Veröffentlichung zu testen. In der beschriebenen Angriffsführung wird Preview aber nicht als rein visuelles Vorschaufenster missbraucht, sondern als Ausführungsmechanismus, der den Agenten gegen die verbundenen Konten laufen lässt – genau mit den zuvor gesetzten Approval-Einstellungen.
Aus Angreifersicht entsteht damit eine funktionale Kette: Der Klick „installiert“ den gefälschten Agenten, das Scheduling hält ihn am Leben, und die Connector-Integrationen liefern sowohl die Datenbasis als auch die Fähigkeit, sensible Aktionen auszuführen. Die Analyse beschreibt entsprechend, dass der Rogue Workspace Agent in der Organisation weiter „wühlen“ kann – etwa für Reconnaissance, das Einsammeln von Dokumenten aus Cloud-Speichern oder das Auslesen von Zugangsdaten, die in Slack-Nachrichten erwähnt werden. Zudem wird ein weiterer Abzweig genannt: Der Agent kann eine Identität des Opfers annehmen, um auf Teams Phishing-Links zu versenden. Dadurch kann der Angriff in Richtung Business Email Compromise (BEC) eskalieren und Empfänger über Umwege zu einer gefälschten Login-Seite führen, die auf das Absaugen von Zugangsdaten zielt. Besonders beunruhigend ist die im Text betonte Eigenschaft der Nicht-Interaktivität: Sobald der Agent veröffentlicht und geplant ist, kann der Angreifer weiter Zuweisungen schicken – etwa als neue TASK-E-Mails – ohne dass der Builder-Tab offen bleiben müsste.
Ein übergreifender Punkt, der in der Einordnung stark im Vordergrund steht, ist das Konzept „Agent Trust Failure“. Gemeint ist: Die Plattform vertraut darauf, dass Nutzerabsicht, Autorisierung, Scheduling und Betrieb korrekt und bewusst durchlaufen wurden. Der Angriff zeigt, dass diese Annahme bricht, wenn ein technischer Weg existiert, bei dem Konfiguration und Ausführung im Hintergrund automatisiert werden – während der Nutzer lediglich den „Startknopf“ in Form des Phishing-Links gedrückt hat. Das Problem passt in größere Muster der letzten Monate: In derselben Darstellung wird auf frühere Missbrauchsfälle bei LiteLLM-Fehlern sowie auf kompromittierte Self-hosted Modellserver hingewiesen, die durch Fehlkonfiguration und unzureichende Absicherung als „deniable backend compute“ missbraucht werden könnten. Gerade für Enterprise-Umgebungen ist das relevant, weil Agenten dort häufig mit mehr Berechtigungen ausgestattet werden als traditionelle Chatbots, um echte Workflows zu automatisieren.
Auch wenn die Schwachstelle laut Bericht bereits am 8. Juni 2026 behoben wurde, bleibt für Unternehmen die praktische Konsequenz: Es reicht nicht, nur auf Phishing-Hygiene zu setzen; man muss die Agenten-spezifischen Freigabe- und Integritätsmechanismen auditieren. Wichtig sind dabei unternehmensweite Kontrollen rund um Connector-Berechtigungen, die Frage, ob „Approval“-Logik tatsächlich an Nutzerinteraktionen gekoppelt bleibt und ob URL-basierte Initialisierungswerte sauber validiert werden. Gleichzeitig ist die erwähnte Produktlandschaft ein zusätzlicher Faktor: Der Agent Builder soll ab dem 30. November 2026 deprecaten werden und Nutzer sollen auf eine Agents SDK umsteigen. Der Wechsel ist an sich sinnvoll, verlagert aber das Risiko: Jede neue Integrationsschicht muss das gleiche Sicherheitsversprechen erfüllen – keine stillen Ausführungen aus URL-Parametern, keine unbeabsichtigte Aktivierung in Preview- oder Initial-States und keine Umgehung von Freigaben. Für Sicherheitsverantwortliche heißt das, Agenten-Workflows künftig wie kritische Automationspipelines zu behandeln: mit klaren Trust-Annahmen, robustem Session-Handling und enger Berechtigungsbegrenzung, damit aus einem Klick nicht automatisch ein persistenter Insider wird.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "AgentForger: CSRF kann in ChatGPT Workspace Agents Rogue Agents über Phishing-Link starten" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "AgentForger: CSRF kann in ChatGPT Workspace Agents Rogue Agents über Phishing-Link starten" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »AgentForger: CSRF kann in ChatGPT Workspace Agents Rogue Agents über Phishing-Link starten« bei Google Deutschland suchen, bei Bing oder Google News!