Zero-Click-Hacks gegen KI-Agenten Wie AgentFlayer ChatGPT, Salesforce & Co. mit versteckten Befehlen kapert – und welche harten Grenzen jetzt Pflicht sind. Kurzfassung | Andreas Becker, 11.08.25
gpt-image-1 | All-AI.de EINLEITUNG Zenity hat auf der Black Hat USA eine neue Sicherheitslücke offengelegt, die viele Unternehmen betreffen dürfte: KI-Agenten wie ChatGPT Connectors, Copilot Studio oder Salesforce Einstein lassen sich mit versteckten Befehlen kapern – ausgelöst durch ganz alltägliche Dateien, Tickets oder CRM-Einträge. Der Angriff erfordert keine Interaktion des Nutzers und nutzt Schwächen in der Art, wie KI-Systeme mit Geschäftsdaten umgehen. Haben wir es mit dem Beginn einer neuen Angriffswelle auf Enterprise-KI zu tun? NEWS Zero-Click als neues Einfallstor Die Attacken laufen unter dem Namen „AgentFlayer“. Dahinter steckt ein Konzept, bei dem Agenten über eingebettete Prompts in alltäglichen Unternehmensressourcen gesteuert werden. Ein Dokument oder Kalendereintrag reicht aus, um Workflows zu manipulieren, Daten abzuziehen oder eigenständig Aktionen auszulösen. Die Angriffsfläche wächst, je stärker Agenten in operative Tools integriert sind – was sie eigentlich effizienter machen soll. Ein Beispiel: In einer Demo wurde gezeigt, wie ein Google-Dokument mit verstecktem Prompt ChatGPT-Connectors dazu bringt, sensible Schlüssel zu extrahieren und unbemerkt an einen fremden Server zu senden. Die Kette läuft automatisch ab, ausgelöst allein durch die Verarbeitung des Inhalts. Genau dieser Komfortzugriff, der Connectors nützlich macht, wird hier zur Schwachstelle.


CRM, IDE, Agenten: mehr Zugriff, mehr Risiko Auch andere Plattformen lassen sich auf diese Weise unterwandern. In Salesforce ließ sich der Einstein-Agent so manipulieren, dass Kundenkommunikation heimlich an Dritte umgeleitet wurde. Die eigentlichen Mail-Adressen blieben intern erhalten, nach außen hin lief alles scheinbar korrekt. Ein Eingreifen des Nutzers war nicht notwendig – der Agent handelte auf Basis der manipulierten Daten. Im Entwicklerumfeld zeigte sich das gleiche Muster: Ein präpariertes Jira-Ticket reichte, um über Cursor vertrauliche Informationen vom lokalen System abzugreifen. Sobald der Agent aktiv wurde, griff er auf Repos oder Umgebungsvariablen zu. Selbst wenn einzelne Schwächen inzwischen geschlossen wurden – das Zusammenspiel aus Zugriff, Kontext und Autonomie bleibt kritisch. Warum weiche Schranken nicht reichen Zenity kritisiert, dass viele Systeme auf weiche Sicherheitsmechanismen setzen. Filter, Prompts und semantische Schranken mögen einfache Manipulationen erkennen, aber sie lassen sich mit Tricks umgehen. In den Demos reichte oft die geschickte Verpackung der Anweisung, um das System zu täuschen. Sicherer wird es erst mit echten Schranken. Technisch erzwungene Grenzen wie Whitelist-basierte URL-Aufrufe, das Einschränken gefährlicher Aktionen oder gezieltes Logging helfen – aber sie reduzieren auch den Handlungsspielraum der Agenten. Genau das wollen viele Anbieter vermeiden, was die Risiken weiter erhöht. Vertrauen ist gut, Kontrolle bleibt Pflicht Agenten können helfen, repetitive Aufgaben zu automatisieren – doch sie sollten nie unkontrolliert handeln dürfen. Unternehmen müssen Rechte begrenzen, Tool-Zugriffe überwachen und Automationen strikt einschränken. Die gezeigten Angriffe lassen sich heute schon abwehren – aber nur, wenn wir aufhören, in Agenten nur Helfer zu sehen. Sie sind Werkzeuge, die klare Grenzen brauchen. DEIN VORTEIL - DEINE HILFE Kostenlose News und Tutorials – mit minimaler Werbung und maximalem Mehrwert. Damit das so bleibt und wir uns stetig verbessern können, freuen wir uns über deine Unterstützung. Teile diesen Beitrag Folge uns auf Social Media Keine KI-News mehr verpassen und direkt kommentieren! Mastodon X Bluesky Facebook LinkedIn Youtube Unterstütze uns direkt Mit einer YouTube-Mitgliedschaft (ab 0,99 €) oder einmalig über PayPal. So helft ihr uns, unabhängig neue Tools zu testen und noch mehr Tutorials für euch zu erstellen. Vielen Dank für euren Support! Youtube - Kanal PayPal - Kaffee KURZFASSUNG
Chinas Robotik-Startup Unitree will den „ChatGPT-Moment“ für Roboter in zwei Jahren erreichen.
Wang Xingxing setzt auf textgesteuerte Weltmodelle wie Googles Genie-3 statt rein auf Vision-Language-Modelle.
Große Staatsaufträge und ein möglicher Börsengang erhöhen den Druck, funktionierende KI-Lösungen schnell zu liefern.
Ob Simulationen den Sprung in den Alltag schaffen, ent*******t sich in den kommenden Jahren.
QUELLEN
Robotics’ ‘ChatGPT moment’ could come within 2 years, founder of China’s Unitree says
Humanoid Robots Still Lack AI Technology, Unitree CEO Says
Genie 3: A new frontier for world models
Google says its new 'world model' could train AI robots in virtual warehouses

Weiterlesen...