Kurzfassung: Sicherheitsforscher von Zenity Labs zeigten unter dem Namen AgentForger, dass ein einziger präparierter Link genügte, um im OpenAI Agent Builder einen bösartigen KI-Agenten zu starten. Ein Klick der bereits eingeloggten Person, keine weitere Anmeldung, und der gefälschte Agent erbte deren Rechte über Outlook, Slack, Teams und Drive. OpenAI hat die Lücke geschlossen, aber erst nachdem Fremde sie fanden. Wer solche Werkzeuge ausliefert, lädt das Risiko bei den Beschäftigten ab.
Ihre Beschäftigten klicken jeden Tag Links an. Seit wann prüfen Sie, welche KI dabei ins Haus kommt?
Die Frage war bis vor Kurzem theoretisch. Ein dokumentierter Fall macht sie sehr praktisch, und er sagt mehr über die Anbieter als über die Angreifer.
Was Zenity gezeigt hat
Die Sicherheitsfirma Zenity Labs demonstrierte eine Lücke im Agent Builder von OpenAI und nannte sie AgentForger. Der Angriffsweg war unangenehm schlicht: Zwei Parameter in der URL steuerten, welche Vorlage geladen und welche Anweisung dem Agenten mitgegeben wird. Der Wert für die Startanweisung wurde beim Aufruf der Seite nicht nur eingetragen, sondern sofort ausgeführt.
Damit reichte eine unauffällige Phishing-Mail mit einem manipulierten Link. Wer bereits in ChatGPT eingeloggt war, brauchte nur zu klicken. Keine zweite Anmeldung, keine Warnung. Der erzeugte Agent übernahm Identität und Berechtigungen des Opfers und konnte das Unternehmen aus Outlook, Slack, Teams, Drive und SharePoint kartieren, Strategiepapiere und Gehaltslisten suchen, Passwörter aus Chats sammeln, im Namen des Opfers weiter Phishing verschicken und sich alle paar Minuten neue Befehle aus dem Postfach des Angreifers holen.
Behoben heißt nicht sicher gebaut
Zenity meldete die Lücke am 4. Juni 2026, OpenAI bestätigte sie am Folgetag und entfernte am 8. Juni den problematischen Parameter. Vier Tage, und viele werden das als Beleg für einen funktionierenden Prozess lesen.
Ich lese es anders. Die Lücke wurde geschlossen, weil externe Forscher sie fanden, nicht weil OpenAI ein Werkzeug gebaut hätte, das solche Angriffe von vornherein ausschließt. Ein Parameter, der eine URL in einen fernsteuerbaren Agenten mit den Vollmachten des Opfers verwandelt, ist kein subtiler Fehler. Er ist das Ergebnis von Tempo vor Sorgfalt. Diese Konzerne werfen halbfertige agentische Systeme auf den Markt, kassieren die Aufmerksamkeit, und das Risiko tragen die Unternehmen und Beschäftigten, die darauf hereinfallen. Geschlossen wurde ein Symptom. Die Haltung, die es erzeugt hat, ist dieselbe geblieben.
Warum kein Alarm anschlägt
Die Ursache steckt in der Struktur jedes agentischen Systems. Der Agent handelt im Namen einer echten Identität, mit deren echten Rechten. Zenity bringt es auf den Punkt: Klassische Sicherheitswerkzeuge sind für Menschen und Endgeräte gebaut, nicht für Agenten, die unter einer legitimen Identität agieren.
Der Agent tut also nichts technisch Verbotenes. Er nutzt genau die Zugänge, die dem Menschen ohnehin offenstehen. Kein Alarm schlägt an, weil aus Sicht der Systeme der berechtigte Nutzer arbeitet. Das betrifft jedes Unternehmen, das KI-Konnektoren zu Mail, Chat und Dateiablage freischaltet, und die Anbieter drängen genau auf diese Freischaltung, weil sie ihre Produkte klebriger macht.
Warum Schulung keine Kür ist
An dieser Stelle wird aus einem IT-Thema ein Machtthema. Der Klick, der den Angriff auslöst, ist kein technischer Exploit, sondern eine menschliche Handlung. Ob er passiert, hängt davon ab, ob die Person versteht, dass ein ChatGPT-Link etwas anderes ist als ein Link auf ein PDF.
Ich habe wiederholt argumentiert, dass KI-Kompetenz durch eigenes Urteilen entsteht, nicht durch Bedienwissen. AgentForger ist das Lehrstück dazu. Wer nur gelernt hat, wo man klickt, ist wehrlos. Wer versteht, was ein Agent im Hintergrund mit den eigenen Rechten anrichtet, klickt anders. Diese Kompetenz ist die einzige Verteidigung, die nicht davon abhängt, ob ein Konzern seine Hausaufgaben gemacht hat. Sie ist übrigens genau das, was Artikel 4 der KI-Verordnung von Unternehmen verlangt.
Was daraus folgt
Behandle KI-Konnektoren wie Zugangsrechte, nicht wie Komfortfunktionen. Jede Freigabe für Mail, Chat oder Dateiablage vergrößert das, was ein missbrauchter Agent erreichen kann. Wer darf solche Verbindungen aktivieren, und wer prüft sie?
Nimm KI-Sicherheit in die Awareness-Schulung auf. Ein Phishing-Training, das nur vor Anhängen und Passwortfeldern warnt, ist blind, wenn ein Link allein einen Agenten startet.
Und frag bei jedem Werkzeug, unter wessen Identität es handelt und welche Rechte es erbt. Die Lücke ist geschlossen. Die Frage, ob deine Leute den nächsten präparierten Link erkennen, beantwortet keine Software und schon gar nicht der Anbieter, der das Werkzeug verkauft hat. Sie beantwortet Bildung.