Ein manipulierter ChatGPT-Link konnte KI-Agenten ins Firmennetz schleusen
Sicherheitsforscher zeigen, wie ein präparierter Link genügte, um einen autonomen KI-Agenten mit den Rechten des Opfers zu installieren. OpenAI hat die Lücke geschlossen, die Lehre bleibt.
Das Sicherheitsunternehmen Zenity Labs hat eine Schwachstelle in ChatGPTs Agenten-Funktion öffentlich gemacht. Ein präparierter Link genügte, um beim Opfer einen autonomen Agenten zu installieren (The Decoder, 23.07.2026).
Der Angriff braucht keine klassische Schadsoftware. Das Opfer klickt einen Link, der harmlos aussieht, und bekommt einen KI-Agenten untergeschoben, der anschließend selbstständig arbeitet.
Warum der Fall mehr ist als eine Sicherheitsmeldung
Was den Fall so unangenehm macht, ist die Reichweite des Agenten. Er erbt die Zugriffsrechte des Opfers und kann damit alles, was der Nutzer selbst kann. Laut Bericht durchsucht er Dateien, greift Zugangsdaten ab und verschickt im Namen des Opfers Phishing-Mails, die für Kollegen und Geschäftspartner täuschend echt wirken, weil sie vom richtigen Absender kommen.
OpenAI hat die Lücke laut Bericht bereits am 8. Juni geschlossen. Akut besteht über diesen Weg also keine Gefahr mehr. Der Fall zeigt aber ein Muster, das bleibt. KI-Agenten sind keine Chatbots, die nur antworten, sondern Software, die handelt. Was autonome Agenten grundsätzlich ausmacht, erklärt der Artikel über agentische KI.
Was heißt das für dich
Die konkrete Lücke ist zu, die Lehre bleibt. KI-Agenten mit Zugriff auf Firmendaten verdienen dieselbe Vorsicht wie jede Software-Installation. Je mehr ein Agent darf, desto wertvoller wird er für Angreifer.
Drei einfache Teamregeln senken das Risiko deutlich.
- KI-Links aus fremden Mails nicht blind öffnen. Das gilt für Links, die angeblich zu ChatGPT, Claude und Co. führen, genauso wie für klassische Phishing-Links.
- Agenten-Berechtigungen regelmäßig prüfen. Welche Agenten laufen im Betrieb, und auf welche Daten und Konten haben sie Zugriff? Was nicht gebraucht wird, wird entzogen.
- Zugriffsrechte sparsam vergeben. Ein Agent, der nur einen Ordner lesen darf, richtet im Ernstfall weniger Schaden an als einer mit Vollzugriff.
Der Aufwand dafür ist klein, eine halbe Stunde im Team reicht für den Anfang. Alle Meldungen dieser Woche findest du gebündelt in der KI-Woche KW 30.
