ChatGPT speichert dein Passwort nicht, deine Anmeldung schon

OpenAI hat den Cloud Browser in ChatGPT Work am 25. August um eine Funktion erweitert, die vorher ausdrücklich fehlte. Der Browser, der auf einem entfernten Rechner läuft und Aufgaben für dich erledigt, kann jetzt Seiten bedienen, die eine Anmeldung verlangen. Bis vor wenigen Stunden stand in OpenAIs eigener Dokumentation noch das Gegenteil. Der Cloud Browser nehme keine Zugangsdaten an, nutze keine Passwortmanager und melde sich nirgends an.

Der Ablauf sieht so aus. Stößt der Agent auf eine Anmeldeseite, hält er an und blendet ein Formular ein. Dort tippst du Benutzername und Passwort selbst ein, bei Bedarf auch den Code aus der Zwei-Faktor-Authentifizierung. Vorher prüft laut OpenAI ein zusätzliches Modell, wohin deine Daten gehen und ob die Seite nach Phishing aussieht. Adresse und eine Vorschau des Formulars kannst du dir ansehen, bevor du etwas eingibst. Passwortmanager werden unterstützt.

Das Passwort ist nicht das Problem

Bei den Zugangsdaten ist OpenAI deutlich. "Credentials entered through the secure form go directly to the remote browser", heißt es in der Hilfe. Das Modell sehe Benutzername und Passwort nicht, gespeichert würden sie nicht, für das Training verwendet ebenso wenig. Was der Trainings-Schalter bei ChatGPT sonst alles nicht abschaltet, steht auf einem anderen Blatt.

Was bleibt, ist die Sitzung. "The authentication will persist for future tasks until it expires, so you do not need to sign in each time", schreibt OpenAI. Ein paar Absätze weiter steht es vorsichtiger, dort ist von "may remain active" die Rede. Gemeint ist beide Male dasselbe. Das Cookie, das deine Anmeldung trägt, liegt danach im Cloud Browser. Und so ein Cookie reicht, um in ein Konto zu kommen, ohne Passwort und ohne zweiten Faktor.

Der Rechner läuft weiter, auch wenn deiner aus ist

Der Cloud Browser ist kein Fenster auf deinem Gerät. Er läuft auf einem eigenen Computer in der Cloud und arbeitet weiter, "including after you close your computer or turn off your phone". Er hat eigene Cookies, eigene Browserdaten, eigene Anmeldungen. Deine offenen Tabs, deinen Verlauf, deine gespeicherten Passwörter und deine bestehenden Logins fasst er nicht an. Das ist die gute Nachricht. Die andere ist, dass deine Sitzung damit an einem Ort liegt, den du nicht sehen kannst, während dein Laptop zugeklappt im Rucksack steckt.

Die Einstellung, vor der OpenAI selbst warnt

Unter Einstellungen, Cloud browser regelst du, welche Seiten der Agent öffnen darf. Drei Stufen stehen zur Wahl. "Always ask" ist der Standard und fragt bei jeder neuen Seite nach. "Auto approve" lässt ChatGPT die Adresse selbst prüfen und nur dann nachfragen, wenn etwas verdächtig wirkt. Die dritte heißt "Always allow" und erlaubt alles. Dahinter schreibt OpenAI selbst: "This is not recommended." Eine freigegebene Seite ist dabei noch keine freigegebene Aktion. Buchungen und Zahlungen bestätigst du weiterhin einzeln.

So wirst du die Anmeldung wieder los

Abmelden geht nicht über die Webseite, sondern über Einstellungen, Cloud browser, Browser data. Dort löschst du die Daten entweder für alle Seiten oder gezielt für eine einzelne. Löschst du die Daten einer Seite, bist du dort abgemeldet und musst dich beim nächsten Auftrag neu anmelden.

Wer die Funktion bekommt

Das hängt vom Abo ab. Den Cloud Browser gibt es in ChatGPT Work auf den bezahlten Plänen außer Free und Go. Die Anmeldefunktion darin nennt OpenAI ausdrücklich für Plus und Pro. Der Rollout läuft gestaffelt, eine Länderliste nennt der Konzern nicht, es ist nur von unterstützten Regionen die Rede. Ob die Funktion in Deutschland schon greift, lässt sich daraus nicht ablesen. Bei anderen Neuerungen schreibt OpenAI einen EU-Ausschluss sonst deutlich hin, etwa bei Computer History.

Die Restrisiken räumt OpenAI selbst ein. Man teste auf Prompt Injection, Phishing und ungewollte Aktionen, heißt es, "those safeguards do not eliminate every risk". Wie real dieser Risikotyp ist, haben Sicherheitsforscher im August an mehreren KI-Browsern vorgeführt. Der Cloud Browser war dort nicht dabei. Die Zutat, die solche Angriffe erst gefährlich macht, hat er seit gestern aber auch. Eine Sitzung, die angemeldet bleibt.