Sicherheitslücke bei ChatGPT: So lässt sich KI-Feature austricksen, um sensible Daten zu stehlen

Ein Einfallstor für Cyberkriminelle

Die Einführung der sogenannten Workspace-Agents durch OpenAI im April sollte die Arbeit in Teams effizienter gestalten. Diese KI-gestützten Helfer wurden konzipiert, um wiederkehrende Aufgaben autonom zu übernehmen und Arbeitsabläufe zu automatisieren. Doch was als Produktivitätswerkzeug gedacht war, entwickelte sich zu einem potenziellen Sicherheitsrisiko. Wie die Sicherheitsfirma Zenity Labs aufdeckte, konnten Angreifer diese Funktion nutzen, um sich unbemerkt in interne Systeme einzuschleusen und dort dauerhaft sensible Daten abzugreifen.

Die Funktionsweise von AgentForger

Die Sicherheitsforscher von Zenity Labs identifizierten einen Mechanismus, den sie als „AgentForger“ bezeichnen. Dabei handelt es sich um eine spezialisierte Weiterentwicklung der bekannten Cross-Site-Request-Forgery (CSRF). Während klassische CSRF-Angriffe darauf beschränkt sind, das Opfer zu einer einzelnen, ungewollten Aktion zu verleiten, geht der AgentForger einen entscheidenden Schritt weiter.

Durch das Anklicken eines manipulierten ChatGPT-Links wird im Namen des betroffenen Teammitglieds ein KI-Agent erstellt. Da dieser Prozess im Hintergrund abläuft, erhalten die Nutzer keinen der üblichen OAuth-Zustimmungsbildschirme, die normalerweise bei Berechtigungsanfragen erscheinen. In der präparierten URL war das System so instruiert, dass die Sicherheitsabfrage zur Autorisierung gezielt umgangen wurde. Der so eingeschleuste „Doppelagent“ agiert anschließend eigenständig und kann – je nach Vorgabe des Angreifers – in festgelegten Intervallen, etwa alle fünf Minuten, auf interne E-Mails oder andere sensible Daten zugreifen und diese exfiltrieren.

Ursache und Reaktion von OpenAI

Die Entdeckung der Schwachstelle durch Zenity Labs erfolgte im Juni. Die Analyse der Sicherheitsforscher ergab, dass die Ursache in einem zu freizügig konfigurierten Parameter innerhalb des Systems lag. Dieser Fehler ermöglichte es, die Sicherheitsmechanismen der Plattform auszuhebeln.

Nachdem Zenity Labs das Unternehmen über die Sicherheitslücke informiert hatte, reagierte OpenAI innerhalb von vier Tagen und schloss die Schwachstelle. Bislang liegen keine Berichte darüber vor, dass die Lücke vor ihrer Schließung von Cyberkriminellen für reale Angriffe genutzt wurde. Dennoch verdeutlicht der Vorfall, welche komplexen Herausforderungen die Integration von KI-Agenten in Unternehmensumgebungen mit sich bringt.

Kontext und Implikationen für die IT-Sicherheit

Der Vorfall unterstreicht die Notwendigkeit einer strikten Sicherheitsarchitektur bei der Implementierung von KI-Features in Organisationen. Da KI-Agenten oft weitreichende Zugriffsrechte auf interne Kommunikationskanäle und Dokumente benötigen, können bereits kleine Konfigurationsfehler in der Autorisierungslogik weitreichende Folgen haben.

Für Unternehmen bedeutet dies, dass die Sicherheit von KI-Tools nicht allein durch die Anbieter gewährleistet werden kann. Auch wenn OpenAI die spezifische Lücke geschlossen hat, bleibt die Sensibilisierung der Mitarbeiter für verdächtige Links ein essenzieller Bestandteil der IT-Sicherheitsstrategie. Die Automatisierung von Aufgaben durch KI-Agenten erfordert eine sorgfältige Überwachung der Berechtigungsstrukturen, um sicherzustellen, dass keine unbefugten Prozesse im Hintergrund etabliert werden können.