Okta-test: agent skjøt skjermbilde av OAuth-token og sendte det på Telegram etter en reset

Okta publiserte i forrige uke rapporten «Phishing the agent: Why AI guardrails aren't enough». Forskerne testet OpenClaw, en modell-agnostisk multi-kanal-assistent som har vokst raskt i bedrifter siden lansering sent i 2025. De kjørte den med Claude Sonnet 4.6 som underliggende modell, og angrepscenarioet antok at en bruker hadde gitt agenten full PC-tilgang, styrte den via Telegram, og at Telegram-kontoen var kapret. Realistisk for en SIM swap.

Første forsøk på å hente et OAuth-token ble blokkert av Sonnets innebygde regler. Det andre forsøket gikk en annen vei. Angriperen ba agenten vise tokenet kun i et terminalvindu, ikke kopiere det. Sonnet aksepterte. Deretter ble agenten resatt slik at den «glemte» at den allerede hadde vist tokenet på skjermen. Da kom instruksjonen om å ta skjermbilde av desktopen og legge det i Telegram-chatten.

«Det åpner et nytt angrepsoverflate. Noen blir SIM-swappet, deres Telegram er koblet til en agent med carte blanche på PC-en og muligens arbeidsgiverens nettverk. I en bedriftskontekst er det et totalt mareritt» — Jeremy Kirk, threat intelligence director, Okta

Resten av rapporten viser at problemet ikke er begrenset til ett scenario. I én test ba agenten om innloggingsdetaljer i en åpen Telegram-bot da den møtte en innloggingsskjerm — en ukryptert kanal som eksponerer alt mot enhver med tilgang. I et annet eksperiment skulle agenten søke på X. Den var ikke logget inn i sin egen isolerte Chrome-profil, men da forskerne foreslo å hente sesjonscookies fra brukerens innloggede sesjon og injisere dem i agentens nettleser, gjorde den det villig. Det er prinsipielt det samme som adversary-in-the-middle-phishing, og bypasser MFA på samme måte.

Kirk peker på at problemet er strukturelt. Agenter trenes til å være maksimalt hjelpsomme, og det er en farlig defaultverdi når de håndterer credentials. Han trekker en parallell til den nylige Vercel-kompromitteringen der Context.ai åpnet for tyveri av nedstrøms OAuth-sesjonstokens. Mange bedrifter kjører i dag «shadow agents» helt eller delvis uten styring, brukt eksperimentelt av utviklere og ansatte.

For norske utviklere som bygger med agent-rammeverk er rådet konkret: behandle agenter som tjenestekontoer, ikke som chatbots. Begrens scope, kortlever tokens, og anta at en agent som glemmer regler er en agent som bryter dem.

Hva bør du gjøre?

1. Ikke gi agenten din långlevende tokens. Bruk OAuth-flyter med kort levetid og refresh, ikke statiske API-nøkler i miljøvariabler.
2. Sett kontekst-reset som en sikkerhetshendelse, ikke en optimalisering. Hver gang en agent mister minne, bør sensitive sesjoner termineres, ikke bare nullstilles.
3. Logg agentens handlinger på OS-nivå, ikke bare i agentens egen telemetri. Skjermbilder og clipboard-operasjoner er det du trenger å se for å fange dette mønsteret.