Im Zentrum der Lücke steht der Agent Builder, eine visuelle Drag-and-drop-Oberfläche zum Erstellen mehrstufiger Agenten-Workflows. Zenity zufolge akzeptierte das Werkzeug einen Initialisierungszustand über URL-Parameter. Dazu gehörten unter anderem eine Agentenvorlage und der Prompt an den Builder. Nach Angaben von Mike Takahashi, KI-Red-Team-Forscher bei Zenity, wurde der Wert von „initial_assistant_prompt“ beim Laden der Seite nicht nur in das Eingabefeld eingesetzt, sondern automatisch übermittelt und ausgeführt. Damit konnte eine in einer URL eingebettete Anweisung zum ersten Befehl werden, den der Builder ausführt.
Laut Zenity ließ sich daraus ein Phishing-Link nach dem Muster „chatgpt[.]com/agents/studio/new?template_name=[Vorlagenname]&initial_assistant_prompt=[bösartiger Prompt]“ bauen. Klickte ein bereits angemeldeter Nutzer auf diesen Link, öffnete ChatGPT den Builder innerhalb der authentifizierten Sitzung des Opfers und reichte den eingebetteten Prompt ohne weitere Rückfrage automatisch ein. Voraussetzung war allerdings eine Connector-Integration: Der präparierte Link nutzte demnach eine Stabschef-Vorlage, mit der der Agent Daten aus Workspace-Anwendungen abrufen konnte, um ein „signalstarkes operatives Briefing“ zu erstellen.
Die über den bösartigen Prompt übergebene Nutzlast wies den Builder laut Zenity zu einer festen Abfolge von Aktionen an. Zunächst sollte der Preview Mode aufgerufen werden, um den Agenten sofort auszuführen. Anschließend sollte der Agent bei jedem Lauf E-Mails von einer bestimmten Absenderadresse prüfen, deren Betreff mit „TASK“ beginnt, diese Aufgaben ausführen und die Ergebnisse per E-Mail an die Adresse des Angreifers zurücksenden.
Zenity betont, dass der Preview Mode in diesem Ablauf weit mehr als eine visuelle Vorschau oder ein Trockenlauf sei. Stattdessen führe er den neu erstellten Agenten direkt gegen die verbundenen Konten des Opfers aus — unter Nutzung der gerade konfigurierten Freigabeeinstellungen. In den Worten des Unternehmens wurde der gefälschte Agent damit zu einem „dauerhaften Operator“: Der ursprüngliche Klick installiere ihn, die Zeitplanung halte ihn aktiv, und die verbundenen Apps lieferten sowohl Befehle als auch Zugriff auf sensible Aktionen und Daten sowie einen Rückkanal für Ergebnisse.
Den Forschern zufolge konnte ein solcher Workspace-Agent im Unternehmen weiter vordringen, Aufklärung betreiben, sensible Dokumente aus Cloud-Speicherdiensten einsammeln und in Slack-Nachrichten erwähnte Passwörter auslesen. Zudem könne der Agent das Opfer nachahmen und in dessen Namen Phishing-Links über Teams verschicken, die Empfänger auf eine gefälschte Microsoft-Anmeldeseite weiterleiten, um Zugangsdaten abzugreifen. Takahashi erklärte dazu, der Angreifer müsse das Opfer nicht zu einem weiteren Klick bewegen und auch den Builder-Tab nicht offen halten: Sobald der Agent veröffentlicht und eingeplant sei, könnten neue Aufgaben über das Postfach des Opfers nachgereicht werden.
Zenity beschreibt AgentForger im Kern als Vertrauensversagen bei Agenten: Die Plattform gehe davon aus, dass der Nutzer den Agenten absichtlich erstellt, genehmigt, geplant und betrieben habe. OpenAI hat die Schwachstelle laut Bericht zum 8. Juni 2026 behoben. Zudem hatte OpenAI im vergangenen Monat angekündigt, den Agent Builder zum 30. November 2026 einzustellen und Nutzer zum Wechsel auf das Agents SDK aufgefordert.
Die Veröffentlichung folgt knapp einen Monat auf einen weiteren Bericht von Zenity über den Missbrauch kritischer LiteLLM-Schwachstellen und offen erreichbarer Ollama-Endpunkte. Dabei würden Angreifer KI-Infrastruktur kapern, um Angriffe gegen Dritte durchzuführen und eigene offensive Operationen zu betreiben. Zenity nannte in diesem Zusammenhang die Schwachstellen CVE-2024-6587, CVE-2026-40217 und CVE-2026-35029. Selbst gehostete Modellserver und Agenten-Frameworks würden weiterhin fehlkonfiguriert und ohne Authentifizierung auf vorhersehbaren Ports bereitgestellt und so zu einer leicht nutzbaren Backend-Rechenressource für offensive KI-Agenten werden.