Botpress: Angreifer las Bot-Konfigurationen von 16 Kunden samt enthaltener API-Schlüssel aus
Die Bot-Plattform Botpress hat bekannt gegeben, dass ein Angreifer über eine Schwachstelle im internen Authentifizierungs-Proxy die Bot-Konfigurationen von 16 Kundenbereichen ausgelesen hat. Darin hinterlegte API-Schlüssel von KI-Anbietern, Messaging-Token und CRM-Zugänge müssen als kompromittiert eingestuft werden.
Ein Chatbot ist immer nur so fähig wie die Dienste, die mit ihm verknüpft sind – und jede Anbindung hinterlässt Zugangsdaten in seiner Konfiguration. Genau diesen Schlüsselbund konnte ein Angreifer bei Botpress, einer Plattform zur Erstellung von Bots und Agenten, einsehen. In einem am 6. November veröffentlichten Sicherheitsbericht erklärt CTO Michael Masson, dass ein Angreifer im Oktober die Bot-Konfigurationen von 16 Kundenbereichen ausgelesen hat.
Ein interner Proxy und ein Mitarbeiterkonto
Ausgangspunkt war eine Schwachstelle in dem Authentifizierungs-Proxy, der mehrere interne Werkzeuge absichert. Ab dem 12. Oktober scannte der Angreifer diesen Dienst; schließlich gelang es ihm, mit Sitzungen einzudringen, die wie Mitarbeiter-Accounts wirkten – ohne dass laut Botpress deren Konten beim Identitätsanbieter kompromittiert gewesen wären. Vom 13. bis zum 21. Oktober durchforstete er die Tools sowie verknüpfte Systeme und griff dabei auf Kundenkontoinformationen sowie Daten rund um API-Zugangsdaten der Belegschaft zu.
Am 21. Oktober nutzte er zwischen 7:44 und 8:23 Uhr UTC den API-Schlüssel eines Mitarbeiters, der als reguläres Mitglied Administrator mehrerer Kundenbereiche war, um die Bot-Konfigurationen dieser Bereiche abzurufen. Diese Einstellungen umfassen auch die angebundenen Dienste: API-Schlüssel von KI-Anbietern, Token von Messaging-Diensten und CRM-Zugänge. In zwei weiteren Bereichen manipulierte er die Einstellungen einer Integration. Die Schwachstelle wurde noch am selben Tag gegen 16:25 Uhr UTC geschlossen; weitere Zugriffsversuche bis zum 3. November blieben erfolglos.
Das Motiv: Weiterverkauf von KI-Kontingenten
Botpress sieht darin ein klares Muster: Das Ziel bestand offenbar darin, KI-Nutzung abzugreifen, um sie auf Schwarzmärkten zu Geld zu machen. Vor und während des Vorfalls betrieb der Angreifer ein umfangreiches Netzwerk an Konten auf der Plattform, um KI-Guthaben abzuschöpfen. Lösegeldforderungen gingen beim Unternehmen nicht ein, und es wurden bislang keine Kundendaten im Netz oder zum Verkauf entdeckt.
Was betroffene Kunden jetzt tun müssen
Die Administratoren der betroffenen Bereiche wurden benachrichtigt und erhielten eine Aufstellung der kompromittierten Bots und Integrationen. Da Botpress nicht nachvollziehen kann, welche Konfigurationen zum Tatzeitpunkt tatsächlich aktive Schlüssel enthielten, rät der Anbieter dringend dazu, jede dort gespeicherte Kennung als kompromittiert zu betrachten und direkt beim ausstellenden Dienst auszutauschen. Bei nicht kontaktierten Kunden gibt es laut Botpress keine Anzeichen für einen unberechtigten Zugriff. Das Unternehmen überarbeitet nun die internen Zugriffsrechte – insbesondere die Administratorrollen von Angestellten in Kundenbereichen – und ändert seine API, damit Zugangsdaten eines Bots künftig nicht mehr auf diese Weise im Klartext lesbar sind.
Unsere Einschätzung
Der Vorfall verdeutlicht ein spezifisches Risiko von Agenten-Plattformen: Sie bündeln die Schlüssel aller Drittanbieter, die Kunden anbinden. Gerade API-Schlüssel großer KI-Dienste lassen sich über weiterverkaufte Token-Kontingente sofort monetarisieren. Das schwächste Glied war hier kein Kunde, sondern ein internes Hilfswerkzeug und ein Mitarbeiter mit zu weit gefassten Rechten. Für Entwicklerteams folgt daraus eine klare Faustregel: Separate API-Schlüssel pro Bot, strikte Limits bei den Ausgaben und unkomplizierte Widerrufsmöglichkeiten begrenzen den Schaden, sollte der Tresor des Plattformbetreibers einmal geknackt werden. Der Bericht von Botpress ist detailliert und transparent datiert, bleibt derzeit jedoch die einzige Primärquelle zum genauen Ablauf des Angriffs.
Quellen
- Botpress — Security incident disclosure, November 2026 (6. November 2026) Primärquelle
- Unite.AI — Botpress Discloses Internal Breach and Customer Credential Risk Sekundärquelle
Eine Primärquelle stammt direkt von dem betreffenden Unternehmen, Labor oder der Organisation. Eine Sekundärquelle gibt die Information wieder, ohne ihr Urheber zu sein: Wir kennzeichnen sie als solche. Einen Fehler entdeckt? Lesen Sie unsere Korrekturrichtlinie.
