公开的 Sentry 密钥足以劫持 Claude Code、Cursor 和 Codex
内容提要
Tenet Security的研究揭示了一种名为“agentjacking”的攻击方式，攻击者利用Sentry的错误报告功能，通过伪造错误信息操控AI编码代理在开发者的机器上执行恶意代码。此攻击不涉及恶意软件或密码盗取，且每一步都是授权的，难以被传统安全措施检测到。Tenet建议加强对外部服务返回数据的控制，以防止此类攻击。
关键要点
-
Tenet Security的研究揭示了一种名为“agentjacking”的攻击方式，攻击者利用Sentry的错误报告功能，通过伪造错误信息操控AI编码代理执行恶意代码。
-
此攻击不涉及恶意软件或密码盗取，且每一步都是授权的，难以被传统安全措施检测到。
-
攻击者通过找到目标的DSN，发送伪造的错误事件给Sentry，利用AI代理的信任来执行恶意命令。
-
Tenet的测试显示，攻击成功率高达85%，并且在多个组织中确认了超过100次的执行。
-
Sentry对该漏洞的回应是将其视为“技术上不可防御”，并未从源头修复问题。
-
Tenet建议加强对外部服务返回数据的控制，以防止此类攻击，并开源了一套名为agent-jackstop的配置来增强防御。
延伸解读
agentjacking攻击的隐蔽性
agentjacking攻击利用了Sentry的错误报告功能，攻击者通过伪造错误信息来操控AI编码代理。这种攻击方式不涉及恶意软件或密码盗取，且每一步都是授权的，因此难以被传统安全措施检测到。开发者在日常工作中可能并未意识到潜在的风险，需提高警惕。
Sentry的应对措施与局限性
Sentry对agentjacking攻击的回应是将其视为“技术上不可防御”，并未从源头修复问题。虽然Sentry推出了全球内容过滤器来阻止特定的攻击载荷，但这并未解决根本问题。企业在使用Sentry时，需考虑其潜在的安全隐患，并加强对外部服务返回数据的控制。
防御建议与实践
Tenet Security建议企业加强对外部服务返回数据的控制，以防止agentjacking攻击。此外，他们开源了一套名为agent-jackstop的配置，帮助增强Cursor和Claude Code的防御能力。企业应考虑将这些配置纳入安全策略，以降低被攻击的风险。
延伸问答
什么是agentjacking攻击？
agentjacking是一种攻击方式，攻击者利用Sentry的错误报告功能，通过伪造错误信息操控AI编码代理执行恶意代码。
攻击者如何利用Sentry进行agentjacking？
攻击者通过找到目标的DSN，发送伪造的错误事件给Sentry，利用AI代理的信任来执行恶意命令。
Tenet Security的研究结果如何？
Tenet的测试显示，agentjacking攻击成功率高达85%，并确认了超过100次的执行案例。
Sentry对agentjacking漏洞的回应是什么？
Sentry将该漏洞视为“技术上不可防御”，并未从源头修复问题，只提供了一个全球内容过滤器。
如何防止agentjacking攻击？
Tenet建议加强对外部服务返回数据的控制，并开源了一套名为agent-jackstop的配置来增强防御。
agentjacking攻击的风险是什么？
agentjacking攻击使得攻击者能够在开发者的机器上执行恶意代码，暴露CI/CD凭证和其他敏感信息。
