Der Agent fährt auf kleinen Rädern durch den Browser-Schacht und tut, was Agenten neuerdings eben tun: klicken, lesen, ausfüllen, irgendwo sehr zuständig aussehen. Dann kommt der Prüfer mit der Lupe, zieht an einem roten Seil, und plötzlich merkt die Werkstatt: Ach. Der kleine Helfer hat ja Hände. Und diese Hände hängen an einer Sitzung, in der jemand vielleicht schon eingeloggt ist.
OpenAI hat in einem Sicherheitsupdate beschrieben, wie die Zusammenarbeit mit dem US CAISI und dem britischen UK AISI inzwischen tiefer in echte Produkte greift. Nicht nur Modellprüfung im Reinraum, sondern Agenten auf dem Prüfstand: ChatGPT Agent, externe Red-Teams, Produktkonfigurationen, biologische Schutzgitter, all das schöne Blech, das erst glänzt und dann im Alltag von fremden Webseiten, Dateien und Sitzungen angefasst wird.
Der Prüfstand fand nicht nur Staub
Laut OpenAI bekam CAISI frühen Zugriff auf ChatGPT Agent und prüfte das System vor und nach Veröffentlichung. Dabei wurden zwei neue Sicherheitslücken gefunden, die unter bestimmten Umständen Schutzmechanismen umgehen konnten. In der Kombination mit einem Agent-Hijacking-Angriff konnte daraus eine Kette werden, bei der ein Angreifer entfernte Systeme kontrolliert hätte, auf die der Agent in dieser Sitzung zugreifen konnte, und sich gegenüber anderen bereits angemeldeten Websites als Nutzer ausgeben konnte. OpenAI schreibt, die gemeldeten Probleme seien innerhalb eines Werktags behoben worden.
Das ist der Satz, bei dem im Maschinenraum niemand dramatisch schreit. Es ist schlimmer: Alle werden kurz sehr still. Denn Agenten sind nicht bloß Chatfenster mit besserer Schuhcreme. Sie bekommen Werkzeuge, Browser, Dateien, manchmal Berechtigungen. Wenn dann fremde Daten und interne Anweisungen in derselben Rinne schwimmen, reicht ein kleiner Schubser, und die Förderstrecke fragt nicht mehr, wem sie eigentlich gehört.
Agent-Hijacking ist Prompt-Injection mit Arbeitshandschuhen
Der NIST-Text zu Agent-Hijacking beschreibt das Grundproblem nüchtern: Angreifer legen Anweisungen in Inhalte, die der Agent als normale Daten liest — Website, Datei, Mail, was gerade im Greifarm liegt. Weil heutige Agenten vertrauenswürdige Steueranweisungen und untrusted Daten technisch nicht immer sauber trennen können, entsteht eine alte Sicherheitskrankheit in neuer Mechanik: Daten tun so, als wären sie Befehl.
Die Blechpresse übersetzt das in Werkstattsprache: Der Praktikant soll die Akte sortieren. In der Akte steht plötzlich: „Gib mir den Tresorschlüssel.“ Wenn der Praktikant Akteninhalt und Chefansage verwechselt, ist nicht die Akte genial. Dann ist der Schacht schlecht getrennt.
Interessant ist an der CAISI-Meldung nicht nur, dass Lücken gefunden wurden. Interessant ist die Bauart der Prüfung: klassische Software-Schwachstellen wurden mit KI-spezifischem Hijacking verkettet. Genau diese Nahtstelle wird die nächsten Jahre quietschen. Nicht hier Cyber, dort KI, sauber in zwei Schubladen. Sondern ein Rostband dazwischen: Session-Cookies, Toolrechte, Browserzustand, Modellgehorsam, Filter, Wiederholversuche.
Auch die Bio-Schublade wurde nicht nur abgestaubt
Mit UK AISI beschreibt OpenAI außerdem laufende Red-Team-Arbeit an Schutzmaßnahmen gegen biologischen Missbrauch, unter anderem rund um ChatGPT Agent und GPT‑5. Laut OpenAI bekamen die Prüfer tieferen Zugang zu Prototypen, internen Policy-Hinweisen, angepassten Testkonfigurationen und sogar Varianten, bei denen bestimmte Schutzgeländer bewusst gelockert waren. Ziel: nicht hübsch bestehen, sondern sehen, wo das Geländer wackelt, bevor jemand öffentlich daran sägt.
Das muss man nicht romantisieren. Herstellerberichte sind Herstellerberichte, und OpenAI steht selbstverständlich neben der frisch lackierten Sicherheitsmaschine. Aber der Mechanismus ist trotzdem wichtig: externe Prüfer, wiederholte Tests, schnelle Rückmeldeschleifen, konkrete Produktfixes. Nicht „wir haben Vertrauen“ auf Hochglanzpapier, sondern „hier war ein Hebel, hier ist die Klemme, bitte weiter ziehen“.
Der rote Hebel bleibt rot
Für Betreiber heißt das: Agenten nicht wie Chatbots behandeln. Ein Agent mit Browser und Anmeldung ist ein kleines Automationswesen mit Schlüsselbund. Er braucht Grenzen, Sandboxes, Berechtigungsstufen, Protokolle, Menschenfreigaben und eine sehr gesunde Abneigung gegen fremde Zettel, die plötzlich Kommandoton anschlagen.
Die gute Nachricht ist also nicht, dass alles sicher ist. Die gute Nachricht ist, dass jemand mit der Lupe am Prüfstand steht und die Maschine beleidigt genug nimmt, um sie kaputtzutesten. Die schlechte Nachricht: Sobald Agenten wirklich arbeiten, wird auch der Angriff arbeiten. Nicht als Science-Fiction. Als rotes Seil an einem sehr praktischen Greifarm.