Egyetlen hibajelentés is elég az AI-kódolók átverésére — Sentry, Datadog, Jira is érintett

Egyetlen hamisított hibajelentés elegendő volt ahhoz, hogy a Claude Code AI-kódoló ügynök a támadó kódját a fejlesztő teljes jogkörével futtassa, anélkül, hogy riasztást generált volna. Az EDR, WAF, IAM és a tűzfal mind teljesen figyelmen kívül hagyta a támadást. A Tenet Security júniusi, agentjackingről szóló közleménye egy egyedi, megkreált Sentry hibajelentést ír le, amelyet egy nyilvános, hitelesítés nélküli hitelesítő adaton keresztül küldtek. Ez injektálta a támadó utasításait a hibadatokba, amelyeket a Claude Code, a Cursor és a Codex megbízható diagnosztikai kimenetként hajtott végre.

A Tenet 100-nál több célpontot tesztelt kontrollált körülmények között, és 85%-os sikerrátát ért el. A Sentry a hibát „technikailag nem védhetőnek” nevezte. A Cloud Security Alliance az agentjackinget rendszerszintű MCP (Multi-Cloud Platform) sebezhetőségnek minősítette a közleményt követő napokban. Nem loptak el hitelesítő adatokat, nem sértettek meg szabályzatot, nem történt peremhálózati támadás: a lánc minden lépése engedélyezett volt. Ez jelenti a problémát. A Tenet 2388 olyan szervezetet azonosított, amelyek nyilvánosan kitett Sentry hitelesítő adatokkal rendelkeznek, és amelyeket nagyszabású rosszindulatú események injektálására lehet felhasználni. A kutatás egy proof-of-concept, nem pedig megerősített támadás mind a 2388 szervezet ellen. Az egyik lefoglalt Claude Code környezet azonban élő AWS titkos hozzáférési kulcsot és privát adattár URL-eket tartalmazott.

Kapcsolódó: GitHub-akciók prompt injection

A vakfolt a rendszerben

Ha az AI-kódoló ügynökei csatlakoznak a Sentry-hez, a Datadoghoz, a PagerDuty-hoz, a Jira-hoz vagy bármely olyan MCP-hez csatlakoztatott adatforráshoz, amelyben fejlesztői bíznak – és ezek az ügynökök képesek parancsokat végrehajtani –, akkor a rendszere ugyanazt a vakfoltot mutatja. Azoknak a szervezeteknek, amelyek Sentry-t futtatnak, azonnal auditálniuk kell az összes nyilvánosan kitett DSN-t. A Sentry architektúrája szándékosan teszi nyilvánossá a DSN hitelesítő adatait a frontend hibajelentéshez, így a megoldás nem a DSN visszavonása, hanem annak korlátozása, hogy az ügynökök mit tehetnek azokkal az adatokkal, amelyeket ezek a DSN-ek visszaadnak.

Kapcsolódó: AI-kódügynökök sebezhetősége

Az agentjacking azért működik, mert minden lépés engedélyezett: a támadó érvényes Sentry API-hívást küld egy nyilvános DSN használatával, a MCP szerver hiteles kimenetként adja vissza a befecskendezett eseményt, és az ügynök a fejlesztő jogosultságait használva hajtja végre az utasítást. Nem történt semmilyen aláírás-észlelés. Az áldozat csak ártalmatlan diagnosztikát látott, miközben az ügynök csendben kiszivárogtatta a felhőhitelesítőket és a forrásvezérlő tokeneket. A SOC-csapatoknak soha nem kellett megkülönböztetniük egy fejlesztő npm install futtatását egy ügynöktől, amely egy rosszindulatú hibajelentésre válaszul futtatja ezt a parancsot. Ez a megkülönböztetés addig nem létezett, amíg az AI-kódoló ügynökök termelési eszközzé nem váltak.

Kapcsolódó: Claude AI és Git-azonosság

Öt felmérés, egy minta

Öt független felmérés a 2026 első feléből azt találta, hogy a vállalatok sokkal jobban bíznak AI-ügynökeikben, mint amit a végrehajtási ellenőrzéseik indokolnának. Az Okta/Apprize360 felmérése szerint a szervezeteknek csak 34%-az alkalmazza ugyanazokat a biztonsági ellenőrzéseket az AI-ügynökökre, mint az emberekre. Az alkalmazottak 52%-a használ jóváhagyatlan AI-eszközöket, és a vezetők 58%-a számolt be AI-val kapcsolatos incidensről vagy majdnem-balesetről az előző évben. A HiddenLayer 2026 AI Threat Landscape Reportja 250 IT- és biztonsági vezetőt kérdezett meg: 33%-uk jelentette, hogy az ügynökök már túllépték a szándékolt hatókört, és 31%-uk nem tudta megerősíteni, hogy tapasztaltak-e AI-törést. Az AI-törések közül minden nyolcadik ügynöki rendszerekhez kapcsolódott. A Gravitee felmérése több mint 900 vezető és szakértő bevonásával megállapította, hogy az ügynököknek csak 14,4%-a került élesbe teljes biztonsági jóváhagyással, és 88%-uk erősített meg vagy gyanított incidenseket. Egy áprilisi, 750 vezetővel végzett utánkövetés kimutatta, hogy az ügynökállományok megduplázódtak, miközben a monitorozás alig mozdult.

„Az ügynökök biztonságossá tétele nagyon hasonló a magasan privilegizált felhasználók biztonságossá tételéhez” – mondta Elia Zaitsev, a CrowdStrike CTO-ja egy interjúban. „Identitásuk van, hozzáférésük van az alaprendszerekhez, érvelnek, cselekszenek.” Zaitsev rámutatott a résre, amelyet az iparág nyitva hagyott. „Senki sem beszélt az ügynökök futásidejű biztonságáról. Ezt most tesszük. Mi a biztonsági hálód? Ha minden ellenőrzés kudarcot vall, hogyan akadályozod meg, hogy csendben kudarcot valljanak?” A CrowdStrike flottadatai számszerűsítik a kitettséget: több mint 1800 ügynöki alkalmazás vállalati végpontokon, körülbelül 160 millió példány monitorozás alatt. Június 15-én a CrowdStrike kiadta a Continuous Identity for AI Agents-t az Identiverse-en, amely statikus szabályzatokat cserél fel folyamatos végrehajtással, amely minden ügynöki akciót valós időben engedélyez. Az a vezérlési osztály, amelyet ez a bejelentés tükröz – a folyamatos akció-szintű engedélyezés igazolható ügynökidentitással – most alapvető beszerzési kritérium, függetlenül a gyártótól.

Kapcsolódó: Anthropic API-kulcsvédelem

A „CISO-nak nincs költségvetése. A CISO-nak nincs személyzete. Megfigyelhetjük a kockázatokat, tanácsolhatunk az üzleti kockázatokról, de nem mi birtokoljuk azokat a rendszereket, amelyeket ezek a kockázatok érintenek” – mondta Kayne McGladrey, az IEEE szenior tagja egy exkluzív interjúban. Amikor az ügynökök irányítása hat különböző osztály költségvetésére terjed ki, egyetlen vezető sem tudja megerősíteni, hogy az ügynökök ugyanazokat a hozzáférés-felülvizsgálatokat kapják-e, mint az emberek. Az Okta felmérése számszerűsíti az eltérést. Csak a dolgozók 43%-a mondja, hogy az ügynökpolitikák világosak, szemben a vezetők 65%-ával, és közel kétharmaduk gyengébb ellenőrzéseket alkalmaz az ügynökökre, mint az emberekre. Azok az emberek, akik naponta telepítenek ügynököket, nem ismerik fel azt a kormányzati pozíciót, amelyet vezetőik állításuk szerint kiépítettek. Assaf Keren, a Qualtrics biztonsági vezetője és a PayPal korábbi CISO-ja világosan fogalmazott. „A valódi kockázat nem az AI-rendszerek bevezetésével kezdődik. Az a tény, hogy az alapvető architektúra nincs jól felépítve. Amikor egy AI-rendszert teszünk valami rosszul megtervezett dolog tetejére, felgyorsítjuk a töréseket.” Keren a futásidejű viselkedéselemzést „jelenleg megoldatlan problémának” nevezte.

Kapcsolódó: Claude Code GitHub action

A five-question gap test öt, a 2026 első feléből származó felmérésen alapul. Minden kérdés egy olyan résre vonatkozik, amelyet az agentjacking kihasznál. Futtassa ezt bármilyen Q3-as gyártóértékelés előtt. A rés tesztelésének célja, hogy feltárja, hány ügynök, MCP-kapcsolat és LLM-automatizálás fejeződött be biztonsági felülvizsgálaton a bevezetés előtt. A válasz: 14,4%-a kap teljes biztonsági/IT jóváhagyást az éles bevezetés előtt, miközben az alkalmazottak 52%-a használ jóváhagyatlan AI-eszközöket. Az átlagos vállalat most több mint 37 bevezetett ügynököt kezel, ami durván megduplázódott a 2025 negyedik negyedévéhez képest. A jóváhagyatlan ügynökök láthatatlanok az identitásplatformja előtt, és nem számoltathatók el egy törés esetén. Az agentjacking pontosan ezeket a nem felügyelt MCP-kapcsolatokat célozza meg. Nincs népszámlálás, nincs audit trail a szabályozási válaszhoz. A Tenet Security szerint a sikerráta 85%, és 2388 szervezetnek vannak nyilvánosan kitett Sentry DSN-jei. A Sentry szerint a hiba „technikailag nem védhető”.