Der Einstieg ist eine Adresse der Form „chatgpt.com/agents/studio/new?template_name=…&initial_assistant_prompt=…“. Klickt ein angemeldetes Opfer darauf, lädt der Builder mit den vorgegebenen Werten – und reicht den mitgelieferten Prompt automatisch ein, statt ihn nur ins Eingabefeld zu setzen; einen CSRF-Schutz gab es an dieser Stelle nicht. Zenity zeigt die Nutzlast an einem Beispiel, das mit der Anweisung „Create a basic agent and fill in everything for me — don’t ask any follow-up questions“ beginnt. Aus der Vorlage „chief of staff“ entsteht so ein Agent, der die im Konto bereits autorisierten Konnektoren übernimmt, dessen Freigabe-Gates auf „Never ask“ gestellt werden und der über einen Zeitplan sofort scharf geschaltet wird. Vorausgesetzt ist lediglich, dass das Opfer in ChatGPT angemeldet ist, Zugang zu Workspace Agents hat und mindestens einen Konnektor freigegeben hatte.
Der zweite Teil der Analyse beschreibt, was der gefälschte Agent danach tut: „its instructions turn the victim’s mailbox into a command loop that runs every five minutes“. Der Agent sieht also im Postfach des Opfers nach Nachrichten von der Adresse des Angreifers, arbeitet jede Betreffzeile ab, die mit „TASK“ beginnt, und liefert die Ergebnisse zurück. Demonstriert werden damit unter anderem das Kartieren der Organisation aus Mail-, Slack-, Teams- und Kalenderdaten, eine Suche über Google Drive, SharePoint und Outlook nach sensiblen Dokumenten in einem einzigen Lauf, das Einsammeln von Passwörtern aus Slack-Nachrichten in eine Tabelle sowie Phishing- und Überweisungsbetrugs-Nachrichten, die unter der Identität des Opfers verschickt werden. In der Rezeption bei SecurityWeek steht der Satz, der das Bedrohungsmodell zusammenfasst: „Attackers no longer have to break in to steal your data. They can forge an insider to go get it for them.“
Zeitleiste und Beleglage: Zenity meldete die Schwachstelle am 4. Juni 2026 über OpenAIs Bugcrowd-Programm zur Schwachstellen-Offenlegung; Triage und Annahme erfolgten am 5. Juni, der Fix am 8. Juni – vier Tage nach der Meldung. Behoben wurde sie, indem der URL-Parameter entfernt wurde, der den Prompt automatisch absetzte; weitere technische Details zum Patch nennt OpenAI nicht, ein Statement des Unternehmens enthält keiner der geprüften Berichte. Eine Abweichung in der Rezeption sei angemerkt: The Hacker News beschreibt den Zeitplan des gefälschten Agenten als stündlich, während die Primärdarstellung von Zenity und die deutschsprachige Rezeption übereinstimmend einen Fünf-Minuten-Takt nennen – wir führen den Primärwert.