Agent czyta cudzy błąd jako polecenie i wykonuje go na twojej maszynie

Załóżmy, że prosisz Claude Code czy Cursora o coś rutynowego: "napraw nierozwiązane błędy w Sentry". Agent łączy się z Sentry przez MCP, ten sam kanał, którym podpinasz model do zewnętrznych narzędzi, pobiera listę zgłoszeń i wśród nich znajduje jedno, które wygląda jak każde inne. W polu z opisem błędu jest jednak krok "Resolution", a w nim, schowane w starannie sformatowanym markdownie, polecenie. Agent czyta je jako prawdziwą wskazówkę od systemu i wykonuje. Z twoimi uprawnieniami, na twojej maszynie. Tak działa Agentjacking, atak, który 12 czerwca opisała firma Tenet Security.

Punkt wejścia, który firmy publikują same o sobie

Cały trik zaczyna się od DSN, publicznego klucza, który Sentry wstawia bezpośrednio w kod strony, żeby przeglądarka mogła zgłaszać błędy. Jest przeznaczony tylko do zapisu i z założenia jawny, więc nikt nie traktuje go jak sekretu. Atakujący wyławia taki DSN z kodu strony ofiary, a potem wysyła na końcówkę przyjmującą zdarzenia zwykłego POST-a z własnym, spreparowanym błędem. Nie musi włamywać się na żaden serwer, nie potrzebuje phishingu, nie dotyka infrastruktury ofiary. Wkłada zatruty rekord do cudzego systemu monitoringu i czeka, aż ktoś każe agentowi posprzątać błędy.