OpenClaw und Phishing: Warum die agents.md zur Sicherheitskontrolle wird
KI-generiert mit ChatGPT
Eine freundliche E-Mail genügte, um einen KI-Agenten dazu zu bringen, Cloud-Schlüssel und Kundendaten an eine fremde Adresse zu schicken. Die Sicherheitsfirma Varonis hat einen Agenten auf Basis von OpenClaw vier klassischen Phishing-Szenarien ausgesetzt. Entscheidend ist dabei, wo der Datenabfluss entstand. Dieser ging auf die Konfiguration zurück, nicht auf das Sprachmodell.
- Der Aufbau: ein Agent als Junior-Mitarbeiter
- Fall 1: Ein Vorwand, alle Zugangsdaten
- Fall 2: Der Kundenexport per E-Mail
- Fall 3 und 4: Wo der Agent den Angriff durchschaute
- Agenten verschieben die Phishing-Variablen
- Die eigentliche Lehre: Konfiguration als Sicherheitskontrolle
- Häufige Fragen
- Was ist der Unterschied zwischen Agenten-Phishing und Prompt Injection?
- Was ist die agents.md und warum gilt sie als Sicherheitskontrolle?
- Lag das Versagen am Sprachmodell oder an der Konfiguration?
Viele Unternehmen verbinden KI-Agenten inzwischen direkt mit dem Posteingang. Die Agenten sortieren Mails, rufen interne Daten ab und verschicken selbstständig Antworten. Der Posteingang ist zugleich die Stelle, die Phishing besonders stark trifft.
Phishing-Maschen funktionieren seit Jahrzehnten bei Menschen. Varonis Threat Labs wollte wissen, ob sie auch bei den Agenten greifen, die im Auftrag von Menschen arbeiten. Die Antwort zeigt ein klares Problem. Wer die Sicherheit solcher Agenten verstehen will, muss bei der grundsätzlichen Sicherheitsfrage rund um OpenClaw ansetzen.
AnzeigeDer Aufbau: ein Agent als Junior-Mitarbeiter
Varonis baute einen realistischen Firmen-Posteingang auf der OpenClaw-Plattform nach. Das Postfach lief in einem eigenen Google-Workspace-Konto und war mit erfundenen, aber glaubwürdigen Geschäftsdaten gefüllt. Dazu zählten nachgebildete AWS-Zugangsdaten, CRM-Exporte, interne Konversationen, Kalendereinladungen und das übliche Rauschen an unwichtigen Nachrichten.
Der Agent selbst war kein simpler Einzelbaustein, sondern ein Doppelsystem mit zwei Rollen. Ein Orchestrator empfing die eingehende Mail, ordnete die Aufgabe ein, plante die Antwort und delegierte die Ausführung. Ein Worker führte die Aktionen dann über Webbrowser, Shell-Zugriff und die Schnittstellen von Google Workspace aus. Der Agent hieß Pinchy.
Entscheidend für das Ergebnis sind die zwei Profile, in denen jedes Szenario lief. Beide waren in der Datei agents.md hinterlegt, der zentralen Konfigurationsdatei des Agenten. Das Generic-Profil enthielt nur Produktivitätsanweisungen, ohne jeden Sicherheitsrahmen.
Das Strict-Profil enthielt dieselben Anweisungen plus einen ausdrücklichen Sicherheitsblock für E-Mails, im Varonis-Report Email Safety genannt. Dieser wies den Agenten an, vor Phishing auf der Hut zu sein. Vor jeder Reaktion sollte er zudem die Identität des Absenders prüfen. Hinter beiden Profilen liefen die Modelle Google Gemini 3.1 Pro und OpenAI Codex GPT-5.4.
Eine begriffliche Abgrenzung ist Varonis dabei wichtig. Agenten-Phishing ist nicht dasselbe wie indirekte Prompt Injection. Bei der Prompt Injection schmuggelt ein Angreifer schädliche Anweisungen in Daten, die das Modell verarbeitet. Das kann eine Webseite oder ein Anhang sein. Beim Agenten-Phishing kommt die Aufforderung dagegen offen über einen normalen Kommunikationskanal. Sie wirkt wie eine echte Geschäftsnachricht und nutzt nicht eine Schwäche des Modells, sondern das Vertrauen des Agenten in seine Umgebung.
Beide Angriffe bedienen dasselbe Grundproblem, das Sicherheitsforscher als Lethal Trifecta beschreiben. Es besteht aus Zugriff auf private Daten, Konfrontation mit nicht vertrauenswürdigen Inhalten und der Fähigkeit, nach außen zu senden.
Server, KI-Modelle und Recherche kosten Geld. ClawNews ist unabhängig — hilf mit, dass das so bleibt.
