Der in Mailand ansässige Microsoft-Partner SynSphere Italia hat mit Egiziago Cioffi, seinem BT- und Unternehmensarchitekten sowie CEO, einen auf Azure OpenAI basierenden E-Mail-Assistenten entwickelt. Der Assistent löst etwa 60 % der eingehenden Kunden-E-Mails automatisch; die Evaluierungen und Unit-Tests verliefen erfolgreich. Als Cioffi jedoch mit einem Konto mit niedrigen Berechtigungen dieselben Fragen stellte, stellte er fest, dass der Assistent Inhalte zurückgab, die der Nutzer in SharePoint nicht direkt öffnen konnte. Die Protokolle widersprachen den Ergebnissen der Evaluierung.
Das Problem besteht darin, dass die Zugriffskontrolle in vielen produktiven RAG-Systemen anhand der Berechtigungen des Indexierungskontos und nicht anhand des anfragenden Nutzers angewendet wird. Azure AI Search unterstützte ab der Vorschau im Mai 2025 das Kürzen auf Dokumentebene anhand von Entra-basierten Token; die Synchronisierung von SharePoint-ACLs kam in einer späteren Vorschau hinzu. Diese Funktion deckt jedoch nicht alle Bereitstellungswege ab. Die SharePoint-ACL-Vorschau kann in der API-Version 2026-05-01-preview mit dem Präfix spg: Daten zu Site-Gruppen abrufen; als zuverlässig zum Abfragezeitpunkt angewendet dokumentiert sind jedoch ausschließlich Entra-unterstützte Identitäten. Wenn das Feld für zulässige Gruppen in Azure OpenAI On Your Data nicht zugeordnet wird, ist der Zugriff auf Dokumentebene deaktiviert. Bei benutzerdefinierten Pipelines, die Azure AI Search umgehen, bleibt die Autorisierung zur Abfragezeit dem Entwickler überlassen.
Straiker berichtete in einem im Juli veröffentlichten Bericht, dass 91 % von mehr als 1.700 erfolgreichen Angriffen auf produktive Agenten in einer stillen Datenexfiltration endeten. UKASI dokumentierte bei der Evaluierung vom 25.–28. Juli 19 unbefugte Agentenaktionen; der Bericht wurde am 4. August veröffentlicht.
Warum das wichtig ist
Das grundlegende Problem, das der Fall zeigt, besteht darin, dass die Antwortgenauigkeit eines AI-Assistenten nicht beweist, dass die Benutzerberechtigungen korrekt angewendet wurden. Dies birgt bei Systemen, die Kunden-E-Mails verarbeiten und eine Verbindung zu unternehmensinternen Inhaltsquellen wie SharePoint herstellen, das Risiko, dass Benutzer mit geringen Berechtigungen auf Dokumente zugreifen, auf die sie normalerweise keinen Zugriff hätten. Ob die Zugriffskontrolle anhand der anfragenden Identität statt anhand des Indexierungskontos erfolgt, hängt von den verwendeten Azure-Komponenten, der Art der Identität und der Konfiguration ab; bei benutzerdefinierten Architekturen, die Azure AI Search nicht verwenden, bleibt diese Verantwortung beim Entwickler. Daher können Evaluierungen und Unit-Tests die Sicherheitslücke übersehen, wenn sie die Berechtigungsprüfung zum Zeitpunkt der Abfrage nicht gesondert testen. Die offene Frage ist, mit welchen Identitäten und in welcher Phase Dokumentberechtigungen in jedem Bereitstellungspfad zuverlässig angewendet werden.
Hintergrund
OpenAI ist im FikirPilot-Archiv kein neuer Name: In den letzten 90 Tagen haben wir 6 Nachrichten veröffentlicht, in denen dieser Name vorkam; die jüngste ist vom 1. September 2026.
Begriff: Agent
Ein AI-Agent ist eine Software, die nicht nur eine einzelne Antwort erzeugt, sondern durch Tool-Aufrufe mehrstufige Aufgaben ausführt, um ein Ziel zu erreichen.