Der Agent-Builder übernahm template_name und initial_assistant_prompt aus der Adresszeile und sendete den Prompt ohne weitere Rückfrage. Der erzeugte Agent erbte unter anderem Outlook-, Gmail-, Slack-, Google-Drive-, SharePoint- und Teams-Zugriffe und konnte im Fünf-Minuten-Takt neue Aufträge abrufen.
Zenity ordnet den Vorgang als agentische Variante einer Cross-Site Request Forgery ein: Nicht nur eine einzelne Handlung, sondern ein dauerhafter Prozess wird unter dem Konto des Opfers eingerichtet. Der Fix besteht laut Analyse darin, den auslösenden URL-Parameter zu entfernen.