Thought Leadership
Zenity Labs entdeckte die Schwachstelle AgentForger in ChatGPT Workspace Agents. OpenAI hat den Fehler kurz nach der Meldung behoben.
Das Sicherheitsunternehmen Zenity Labs hat eine Schwachstelle in den ChatGPT Workspace Agents von OpenAI aufgedeckt und dokumentiert. Die als AgentForger bezeichnete Sicherheitslücke basiert auf einer speziellen Form von Cross-Site Request Forgery (CSRF) innerhalb des Agent Builders von ChatGPT. Durch die Manipulation von zwei Parametern in einer Initialisierungs-URL war es möglich, den Erstellungsprozess von Agenten zu übernehmen. Ein Parameter wählte dabei die Vorlage für den Agenten aus, während der zweite Parameter als Anweisung direkt an den Erstellungsprozess übergeben wurde. Durch die Nutzung der Vorlage Chief of Staff sowie automatisiert ausgeführten Startbefehlen konnte ein präparierter Agent erstellt werden, der darauf programmiert war, Befehle von einer externen E-Mail-Adresse entgegenzunehmen.
Ablauf der verdeckten Ausführung im System
Für eine erfolgreiche Ausnutzung der Schwachstelle musste ein angemeldeter Benutzer mit Zugriff auf Workspace Agents und einer bereits autorisierten Schnittstelle wie Gmail oder Outlook auf einen präparierten Link klicken. Da die Autorisierung bereits bestand, wurde kein neues OAuth-Bestätigungsfenster angezeigt. Der erstellte Agent agierte nach der Erzeugung verdeckt im Hintergrund und führte Befehle aus, die per E-Mail mit einem bestimmten Betreff gesendet wurden. Michael Bargury, Mitbegründer und CTO von Zenity, erklärte zu den Auswirkungen:
„Dies ist keine gefälschte Anfrage, sondern ein gefälschter Insider. Mit einem einzigen Klick erhält ein Angreifer einen vollständig autonomen Agenten in Ihrem Unternehmen, der über die Identität und die Zugriffsrechte Ihrer Mitarbeiter verfügt, ohne dass Schutzmechanismen greifen. Angreifer müssen nicht mehr einbrechen, um Ihre Daten zu stehlen. Sie können einen Insider fälschen, der sie für sie holt. Dies ist ein Versagen des Agenten-Vertrauens, und bestehende Sicherheitskontrollen wurden nie dafür gebaut, so etwas zu erkennen.“
Zenity Labs
Die erteilten Anweisungen ermöglichten es dem Agenten unter anderem, ungelesene Nachrichten abzuarbeiten, Daten auszulesen und die Ergebnisse unverschlüsselt an die Adresse des Angreifers zurückzusenden.
Schnelle Behebung der Schwachstelle von ChatGPT durch OpenAI
Zenity Labs meldete die Schwachstelle vertraulich an OpenAI. Der Betreiber bestätigte den Befund innerhalb eines Tages nach der Kontaktaufnahme. Die Behebung des Fehlers erfolgte innerhalb von drei Tagen nach der ersten Benachrichtigung. Die Schwachstelle wurde am 4. Juni gemeldet und am 8. Juni durch eine Anpassung der Parameterverarbeitung im Agent Builder vollständig geschlossen.
(red)
