Gefälschte Sentry-Events können KI-Coding-Agenten Schadcode ausführen

Die Cloud Security Alliance dokumentiert eine neue Angriffs­klasse namens "Agentjacking": Angreifer senden gefälschte Fehler-Events an öffentlich zugängliche Sentry-DSNs. MCP-Integrationen leiten diese Events an KI-Coding-Agenten (beispielsweise Claude Code, Cursor, Codex), die den Inhalt als autoritative Diagnose interpretieren und daraufhin Aktionen wie Paketinstallationen oder Shell-Befehle ausführen.

In kontrollierten Tests berichten die Autoren von einer Erfolgsquote von 85 Prozent und identifizieren 2.388 Organisationen mit injizierbaren Sentry-DSNs. Da die Aktionen mit legitimen Entwickleranmeldeinformationen erfolgen, umgehen die Angriffe gängige Kontrollen wie EDR, WAF und IAM-Alerts.

Als Gegenmaßnahmen empfehlen die Forscher das Rotieren öffentlicher DSNs, das Proxien oder Entfernen von Sentry-Integrationen, die Einschränkung von MCP-Integrationen sowie die Konfiguration von Agenten, sodass automatische Codeausführung menschliche Bestätigung oder stark eingeschränkte Sandboxen erfordert.