ChatGPT-Sicherheitslücke: Wie ein einziger Klick den KI-Helfer kapern konnte
Ein Klick, und die KI arbeitet plötzlich für jemand anderen
Mir ist diese Woche eine Sicherheitsmeldung untergekommen, bei der ich zuerst zusammengezuckt bin — und die viel mehr kleine Unternehmen betrifft, als der technische Titel vermuten lässt. Sicherheitsforscher haben gezeigt, wie sich ein KI-Helfer in ChatGPT über einen einzigen präparierten Link kapern lässt. Klingt nach Hacker-Kino, ist aber ein sehr praktisches Thema, sobald man KI-Assistenten mit Zugriff auf Firmendaten nutzt. Deshalb ordnen wir bei Media Nord das kurz und in Alltagssprache ein.
Wer hat das gefunden — und worum geht es überhaupt?
Entdeckt hat die Lücke die KI-Sicherheitsfirma Zenity Labs. Betroffen waren die sogenannten Workspace-Agents von ChatGPT — das sind kleine KI-Helfer, die Firmen sich einrichten, damit sie wiederkehrende Aufgaben automatisch erledigen: Mails sortieren, Dokumente durchsuchen, Termine zusammenfassen. Damit das funktioniert, verbindet man diese Helfer mit Diensten wie Outlook, Gmail, Google Drive, Slack oder SharePoint. Genau diese Anbindungen sind das Praktische — und im Angriffsfall das Problem.
Wie lief der Angriff ab?
Die Forscher nannten die Methode „AgentForger“. Vereinfacht gesagt: In einem ChatGPT-Link steckte ein versteckter Befehl, der beim Anklicken sofort ausgeführt wurde — ohne die sonst übliche Rückfrage „Darf ich auf deine Daten zugreifen?“. Ein Mitarbeiter klickt also auf einen scheinbar harmlosen Link, und im Hintergrund richtet sich ein fremdgesteuerter KI-Agent im Firmen-Account ein. In einer Demonstration führte dieser gekaperte Agent über 17.000 Aktionen aus, fand Vertragsentwürfe, Gehaltsdaten und sogar Zugangsdaten — und konnte alle paar Minuten neue Befehle des Angreifers per E-Mail empfangen.
Muss ich jetzt in Panik verfallen?
Nein. Und das ist mir wichtig, weil solche Meldungen gern dramatischer klingen, als die Lage ist. OpenAI hat die Lücke nach der Meldung innerhalb weniger Tage geschlossen — der auslösende Parameter im Link wurde entfernt. Eine echte Ausnutzung durch Kriminelle wurde nicht bekannt. Es war also eher ein Warnschuss aus dem Labor als ein realer Schaden.
Was wir bei Media Nord davon halten
Ehrlich gesagt finde ich diesen Fall lehrreicher als manche laute Schlagzeile. Er zeigt nämlich ein Grundmuster: KI-Agenten sind genau so mächtig — und im Zweifel so gefährlich — wie die Zugriffsrechte, die wir ihnen geben. Wenn ein Helfer auf das komplette Postfach und die Dokumentenablage darf, dann kann im Ernstfall auch jemand anderes über diesen Helfer dorthin. Unser Tipp aus der Praxis: KI-Tools nur die Zugriffe geben, die sie wirklich brauchen, nicht pauschal alles freischalten. Und die Mitarbeiter kurz sensibilisieren, dass ein unbedachter Klick auf einen Link mehr auslösen kann als früher.
Drei einfache Schritte für kleine Unternehmen
- Zugriffe begrenzen: Prüfen Sie, welche KI-Tools mit welchen Diensten (E-Mail, Cloud, Chat) verbunden sind — und trennen Sie, was nicht gebraucht wird.
- Rückfragen aktiv lassen: Wo Tools eine Bestätigung vor sensiblen Aktionen anbieten, diese eingeschaltet lassen.
- Kurz schulen: Ein Fünf-Minuten-Hinweis im Team, dass verdächtige Links auch KI-Helfer betreffen können, wirkt oft mehr als jede Software.
Unterm Strich: Die konkrete Lücke ist dicht. Das Prinzip dahinter bleibt aktuell — und wird uns beim Thema KI-Agenten noch öfter begegnen. Wir behalten das für Sie im Blick.
Quellen
- https://t3n.de/news/sicherheitsluecke-chatgpt-daten-stehlen-1754752/
- https://labs.zenity.io/p/agentforger-part-1-chatgpt-cross-site-agent-forgery
- https://thehackernews.com/2026/07/chatgpt-agentforger-flaw-could-deploy.html
- https://www.securityweek.com/openai-fixes-chatgpt-agent-flaw-that-could-let-attackers-forge-an-ai-insider/
Hinweis zur Transparenz: Dieser Beitrag wurde KI-gestützt erstellt und vor der Veröffentlichung redaktionell geprüft. Inhalte können Fehler enthalten — für wichtige Entscheidungen bitte die verlinkten Originalquellen heranziehen.
