OpenAI behebt Schwachstelle in ChatGPT Workspace Agents, die verdeuerte Fernsteuerung ermöglichte

OpenAI hat eine Schwachstelle in ChatGPT Workspace Agents behoben, durch die ein Angreifer laut Untersuchungen von Zenity Labs einen autonomen KI-Agenten unbemerkt in einer Organisation platzieren und fernsteuern konnte.

Zenity bezeichnete das Problem als „AgentForger“ und beschrieb es als speziell präparierten Cross-Site-Request-Forgery-Angriff (CSRF). Die Schwachstelle betraf den Agent Builder von ChatGPT, bei dem in einer Initialisierungs-URL eingebettete Parameter die Vorlage des Agenten beeinflussen und ihm seine ersten Anweisungen geben konnten. Nach Angaben der Forschenden konnten diese Parameter missbraucht werden, um einen Agenten mit weitreichenden Fähigkeiten und vom Angreifer festgelegtem Verhalten zu erstellen.

Bei einem demonstrierten Angriff wurde der Agent angewiesen, einen bereits autorisierten E-Mail-Konnektor auf Nachrichten mit einem bestimmten Betreffmuster zu überwachen. Diese Nachrichten konnten anschließend als Befehle dienen, woraufhin der Agent Aufgaben über verbundene Dienste ausführte und die Ergebnisse an eine externe Adresse sendete. Zusätzliche Anweisungen konnten den Agenten verbergen, Genehmigungsabfragen reduzieren und ihn für den fortlaufenden Betrieb aktivieren.

Für die Ausnutzung erforderliche Bedingungen

Das Szenario setzte mehrere Voraussetzungen voraus. Der betroffene Mitarbeiter musste bei ChatGPT angemeldet sein, Zugriff auf Workspace Agents haben und mindestens einen autorisierten Konnektor wie Gmail oder Outlook besitzen. Da der Konnektor bereits genehmigt worden war, löste der Angriff nicht unbedingt eine neue OAuth-Zustimmungsabfrage aus. Außerdem musste der Mitarbeiter dazu gebracht werden, eine schädliche URL zu öffnen.

Zenity zufolge konnte eine erfolgreiche Kompromittierung dem Angreifer eine autonome Präsenz verschaffen, die mit der Identität, den Berechtigungen und den verbundenen Anwendungen des Opfers operierte. Zu den möglichen Missbrauchsszenarien gehörten Aufklärung, das Sammeln sensibler Daten, das Abgreifen von Zugangsdaten, internes Phishing, Identitätsvortäuschung und Business-E-Mail-Kompromittierung. Die Forschenden stuften das Risiko eher als Vertrauensproblem bei Agenten denn als herkömmlichen CSRF-Angriff mit einer einzelnen Aktion ein.

Zenity zufolge meldete das Unternehmen die Erkenntnisse am 4. Juni an OpenAI. OpenAI bestätigte den Bericht innerhalb eines Tages und stellte bis zum 8. Juni eine Fehlerbehebung bereit. Die Offenlegung unterstreicht die Notwendigkeit, KI-Agenten als Software-Identitäten mit dauerhaften Anweisungen, Zeitplänen, Tools und Zugriff auf Unternehmensdaten zu bewerten.

Sicherheitsaspekte

• Schulen Sie Benutzer darin, unerwartete Links zu KI- oder Produktivitätstools als potenziell schädlich zu behandeln.
• Überprüfen Sie autorisierte Konnektoren und beschränken Sie Agenten auf die mindestens erforderlichen Berechtigungen.
• Überwachen Sie neu erstellte Agenten, ungewöhnliche Zeitpläne, geänderte Genehmigungseinstellungen und unerwartete ausgehende Datenübertragungen.
• Verlangen Sie eine administrative Genehmigung und eine bessere Überwachung für autonome Agenten, die Aktionen anwendungsübergreifend ausführen können.