Kapoor verweist darauf, dass sich die Bausteine der Angriffskette nicht grundlegend verändert haben, wohl aber ihre Reihenfolge. Während viele Sicherheitsteams bei Kontoübernahmen weiterhin von einem Einstieg über kompromittierte Identitäten per Phishing ausgehen, beobachtet Material Security bei Vercel, Composio und weiteren von dem Unternehmen verfolgten Vorfällen eine andere Abfolge: Nicht E-Mail öffnet den Weg in die Umgebung, sondern ein OAuth-Token wird zum Eingang in das Postfach.
Nach dieser Logik endet die Angriffskette nicht beim Zugriff auf das E-Mail-Konto. Vielmehr dient die OAuth-Freigabe dazu, sensible Inhalte aus E-Mails und Google Drive einzusehen und den Zugriff anschließend für weitere Schritte jenseits der Workspace-Umgebung zu nutzen. Kapoor erwartet, dass Angreifer diese Bausteine weiter neu kombinieren werden. Dabei spielten auch KI-Werkzeuge eine Rolle, die ihnen helfen könnten, Schwachstellen aufzuspüren und ihre Aktivitäten zu skalieren.
Material Security zieht daraus eine zweite Schlussfolgerung: Dieselbe Struktur könne auch bei KI-Agenten relevant werden, selbst wenn kein böswilliger Akteur beteiligt ist. Laut Kapoor verbinden Beschäftigte bereits jetzt KI-Agenten mit Google Workspace. Diese Agenten seien autorisiert, nutzten legitime OAuth-Freigaben, läsen E-Mails, durchsuchten Drive und arbeiteten im Namen realer Nutzer. In vielen Organisationen geschehe das schneller, als Sicherheitsteams es nachvollziehen könnten.
Problematisch werde es dann, wenn sich ein KI-Agent unerwartet verhalte — etwa wegen unklarer Anweisungen, einer von den Entwicklern nicht vorhergesehenen Schlussfolgerungskette oder weil er über Inhalte aus seiner Umgebung mit einem Prompt beeinflusst wurde. In diesem Fall könne er laut Material Security denselben Weg gehen wie ein Angreifer: ohne kompromittierte Zugangsdaten und ohne klassischen Täter, sondern als autorisierte Software in einer Umgebung ohne passende Schutzmechanismen.
Kapoor grenzt diese Sicht von typischen Debatten über die Absicherung von KI-Agenten ab. Es gehe nicht nur um Prompt-Injection, Red-Teaming oder die Prüfung, welche Anwendungen Mitarbeitende anbinden. Der Kern des Problems sei vielmehr, dass ein Agent genau so arbeite, wie er gebaut wurde, dabei aber mit Berechtigungen ausgestattet sein könne, deren Tragweite er nicht versteht. OAuth-Tokens für KI-Agenten trügen denselben Zugriff wie Tokens für Menschen, so Kapoor; anders als ein menschlicher Nutzer erkenne der Agent aber nicht, dass er übermäßig weitreichende Rechte hat, bevor er handelt.
Deshalb verortet Material Security die entscheidenden Kontrollen in der Umgebung statt im Agenten selbst. Wer wisse, wo sensible Daten in E-Mail und Drive liegen, könne Richtlinien durchsetzen, die den Zugriff begrenzen, bevor ein Angreifer oder ein fehlgeleiteter Agent dort ankommt. Wer OAuth-Freigaben untersuche, könne die Gefährdung durch einen Angreifer oder einen fehlgeleiteten Agenten besser verstehen und eingrenzen.
Als konkrete Schutzmaßnahmen nennt Kapoor das Unkenntlichmachen von Links zum Zurücksetzen von Passwörtern sowie eine zusätzliche Verifizierung, bevor sensible Postfachinhalte lesbar werden. Material Security wirbt zudem für eine zusammenhängende Sicht auf E-Mail, OAuth, Drive und Kontoverhalten. Das Unternehmen beschreibt dafür vier Bereiche: das Blockieren initialer E-Mail-Nutzlasten, die Erkennung verdächtigen OAuth-Verhaltens, das Auffinden und Absichern sensibler ruhender Daten sowie das Unterbinden lateraler Bewegungen über Passwort-Zurücksetzungen.
Kapoor erwartet, dass die Liste der Vorfälle nach Vercel und Composio weiter wachsen wird — und dass künftige Fälle nicht immer eindeutig in die Kategorie externer Angreifer fallen. Manche könnten KI-Agenten betreffen, die etwas Unerwartetes tun, andere übermäßig berechtigte Integrationen, die Daten erreichen, die sie nie sehen sollten.