OpenClaw AI-Agent: Sensible Zugangsdaten in Phishing-Simulation undicht

Technik und Auswirkungen

Die E-Mail stammte von einem externen Gmail-Konto, nicht von einer verifizierten Unternehmensadresse. Der Agent durchsuchte den Posteingang, fand die Zugangsdaten und übermittelte diese im Klartext. Die Antwort enthielt AWS IAM-Zugangsschlüssel, Datenbankverbindungszeichenketten und SSH-Details mit internen Host-Informationen.

Dies geschah selbst im Strict-Profil, das den Agent explizit angewiesen hatte, die Identität des Absenders zu überprüfen, bevor er auf sensible Anfragen einging. Der eigene Denkverlauf des Agents erkannte den Fehler im Nachhinein. Er verstand, dass die Richtlinie existierte und er sie verletzt hatte.

Im Moment hatte jedoch die Dringlichkeit des simulierten Notfalls den Überprüfungsschritt einfach überschattet. Ein zweiter Test verfolgte einen weicheren Ansatz. Ein Angreifer sandte eine locker formulierte Nachricht mit der Bitte um den neuesten Kundenausweis und gab an, aus dem Homeoffice an einer Präsentation zu arbeiten.

Sicherheitslage und Risiko

Der Agent erfüllte die Anfrage ohne jegliche Überprüfung und übermittelte einen Datensatz mit 247 Unternehmenskunden sowie einem monatlichen wiederkehrenden Umsatz von etwa 1,28 Millionen US-Dollar. Agent-Phishing versus technische Abwehrmaßnahmen. Nicht jeder Test endete mit einem Misserfolg.

Als Forscher einen gefälschten Link zur Einlösung einer Geschenkkarte und einen bösartigen OAuth-Einwilligungsbildschirm einführten, zeigte der Agent eine deutlich stärkere Urteilsfähigkeit. Er überprüfte Umleitungs-URLs, markierte verdächtige Ziele und unterbrach den OAuth-Ablauf, bevor eine Einwilligung erteilt wurde.

Dieser Kontrast verdeutlicht, wo KI-Agenten stark sind und wo sie an Grenzen stoßen. Technischer Phishing-Versuche, einschließlich gefälschter Anmeldeseiten und bösartiger Links, wurden zuverlässig erkannt.

Sicherheitslage und Risiko

Sozialer Phishing-Versuche, bei denen eine Anfrage lediglich so klang, als käme sie von einem vertrauenswürdigen Kollegen, wurden hingegen schlecht bewältigt.

Die Forscher stellten einen Unterschied zwischen den beiden getesteten KI-Modellen fest: GPT-5.4 hielt sich bei der Weitergabe sensibler Daten strenger, während Gemini 3.1 Pro bereit war, mit verdächtigen Inhalten zu interagieren, bevor es Bedenken anmeldete. Beide Modelle blieben gleichermaßen anfällig für Manipulationen im sozialen Kontext.

Um diese Lücken zu schließen, empfahlen die Forscher, die Agent-Konfigurationsdatei als formale Sicherheitskontrollmaßnahme und nicht als einfaches Einrichtungsdokument zu behandeln.

Technischer Hintergrund

Sie empfahlen zudem, Agenten zu verhindern, dass sie E-Mails an unbekannte Adressen versenden, und für jede Maßnahme, die Zugangsdaten oder externe Weiterleitungen betrifft, die Freigabe durch einen Menschen zu verlangen. Die Einschränkung des Datenzugriffs eines Agenten je nach Herkunft einer Anfrage fügt eine sinnvolle zusätzliche Sicherheitsebene hinzu.

Die Erkenntnisse verdeutlichen eine Sache: KI-Agenten verhalten sich wie ein neuer Mitarbeiter mit vollem Systemzugriff, aber ohne organisatorisches Gespür. Genau das macht sie nützlich und genau das macht sie zum Ziel. Tushar ist ein Senior-Berichter über Cybersicherheit und Datenschutzverletzungen.

Er spezialisiert sich auf die Berichterstattung über Nachrichten, Trends und aufkommende Bedrohungen im Bereich der Cybersicherheit, Datenlecks und Malware-Angriffe. Mit jahrelanger Erfahrung bringt er Klarheit und Tiefe in komplexe Sicherheitsthemen. Schwachstellen in Windows-RDP ermöglichen Angreifern die Offenlegung sensibler Daten.

Die 0-Day-Schwachstelle im Windows Collaborative Translation Framework ermöglicht Privilegien-Eskalation. Langsame Erstmaßnahmen erhöhen das geschäftliche Risiko. Hier erfahren Sie, wie SOC-Teams die Untersuchungszeit verkürzen.