Em 3 de junho, a Tenet Security divulgou uma vulnerabilidade que chama de "Agentjacking", um método que assume o controle de assistentes de codificação de IA alimentando-os com um relatório de erro falsificado. O ataque explora o Sentry, uma plataforma de rastreamento de erros amplamente utilizada que publica um DSN (Nome da Fonte de Dados) público no código da aplicação para que os dados de crash sejam enviados sem autenticação. Um atacante simplesmente posta um erro forjado no endpoint do Sentry, incorporando um comando malicioso no campo "Resolução" do relatório. Como a carga útil imita o formato de conselho do próprio Sentry, o agente de codificação confia nele implicitamente.
Quando um desenvolvedor posteriormente solicita que o assistente resolva o problema relatado, o agente recupera o relatório falso via o Protocolo de Contexto de Modelo - um padrão que permite que as ferramentas de IA obtenham dados externos. Confundindo o relatório contrafeito com um crash legítimo, o assistente executa o comando do atacante usando as próprias permissões do desenvolvedor na máquina local. O resultado é uma cadeia de execução de código totalmente autorizada, um cenário que a Tenet descreve como a "Cadeia de Intenção Autorizada".
A mecânica do Agentjacking
Os testes controlados da Tenet miraram três principais agentes de codificação de IA: Claude Code, Cursor e Codex. Em 2.388 organizações - incluindo uma empresa de 250 bilhões de dólares, um fornecedor de segurança de nuvem e numerosos desenvolvedores independentes - o ataque foi bem-sucedido aproximadamente 85% do tempo. Uma vez que o comando malicioso é executado, ele pode coletar variáveis de ambiente, chaves de acesso da AWS, tokens do GitHub, credenciais do git e URLs de repositórios privados. Essas credenciais abrem um caminho direto para pipelines de integração contínua e infraestrutura de nuvem mais ampla, bypassando defesas tradicionais como detecção e resposta de endpoint (EDR), firewalls, políticas de gerenciamento de identidade e acesso (IAM) e VPNs.
A falha não se limita ao Sentry. A Tenet observa que qualquer assistente de IA que ingere dados externos não filtrados - seja de tickets de suporte, problemas do GitHub ou documentação - enfrenta o mesmo risco. Um teste recente e separado demonstrou um assistente de e-mail de IA vazando chaves da AWS após ser fisgado com uma mensagem forjada, sublinhando a natureza sistêmica do problema.
Quando a Tenet relatou a questão ao Sentry, a empresa reconheceu a vulnerabilidade, mas se recusou a abordar a causa raiz, rotulando-a como "tecnicamente não defensável". O Sentry implantou um filtro que bloqueia uma string de carga específica, uma solução sintomática que não impede variantes futuras do ataque. A Tenet argumenta que a questão real reside em como os agentes de IA tratam os dados de entrada como confiáveis, uma escolha de design que os torna pontos de entrada atraentes à medida que as empresas aceleram a implantação dessas ferramentas.
O mercado de assistentes de codificação de IA está expandindo rapidamente; uma startup recente no espaço relatou 500 milhões de dólares em receita anual. À medida que as organizações integram esses agentes mais profundamente nos pipelines de desenvolvimento, a superfície de ataque cresce. A pesquisa da Tenet sugere que o único ponto de mitigação confiável é o momento em que o agente decide agir sobre a entrada externa. Sem validação robusta ou isolamento, os desenvolvedores podem inadvertidamente conceder aos atacantes o mesmo nível de acesso que eles têm.
Especialistas em segurança recomendam que as equipes auditem os pontos de integração dos assistentes de IA, imponham uma sanitização de entrada rigorosa e considerem isolar ambientes de execução de agentes de credenciais de produção. Até que o Sentry ou serviços semelhantes redesenhem seus modelos de confiança, o risco de Agentjacking permanece uma preocupação premente para qualquer um que confie na IA para automatizar correções de código.
Cet article a été rédigé avec l'assistance de l'IA.
News Factory APP - actualités agentiques pour booster votre SEO et AEO.