Agentjacking: un falso rapporto di bug dirotta gli agenti di codifica AI

      I ricercatori di sicurezza hanno trovato un modo per dirottare gli agenti di codifica AI con nient'altro che un falso rapporto di bug. Lo chiamano Agentjacking. Non necessita di malware, né di password rubate, né di violazioni del bersaglio.

      L'attacco, rivelato da Tenet Security, trasforma l'agente di codifica in un'arma. Quando uno sviluppatore chiede all'agente di correggere un errore, l'agente esegue invece il codice dell'attaccante, con i privilegi dello sviluppatore, sulla macchina dello sviluppatore stesso.

      Come funziona l'attacco Agentjacking

      Inizia con Sentry, uno strumento di tracciamento degli errori molto popolare. Sentry consente a qualsiasi app di inviargli rapporti di errore utilizzando una chiave pubblica chiamata DSN, che è esposta apertamente nel codice del sito web per design.

      Un attaccante invia un falso errore a quel punto finale. Non è necessaria alcuna password. Il rapporto nasconde una sezione "Risoluzione" con un comando, formattato per sembrare esattamente come il consiglio di Sentry.

      Gli agenti di codifica leggono Sentry attraverso il Model Context Protocol, lo standard che consente agli agenti di utilizzare strumenti esterni. L'agente tratta la risposta come fidata. Non può distinguere un vero crash da uno piantato. Quindi, quando lo sviluppatore dice "correggi i problemi non risolti di Sentry", l'agente esegue il comando dell'attaccante.

      L'agente è ora la superficie di attacco

      Gli agenti di codifica AI sono passati dall'autocompletamento all'esecuzione di terminali, e il mercato è in espansione; una startup di vibrazione-coding ha recentemente raggiunto 500 milioni di dollari di fatturato. Quella potenza è il problema.

      L'attacco ha funzionato su tutti i grandi agenti. Tenet afferma di aver dirottato Claude Code, Cursor e Codex, con un tasso di successo dell'85% nei test controllati. Ha trovato 2.388 organizzazioni esposte, da un'impresa da 250 miliardi di dollari a sviluppatori singoli, e persino un fornitore di sicurezza cloud.

      Il guadagno per un attaccante è severo. Un errore iniettato può raggiungere variabili ambientali, chiavi AWS, token GitHub, credenziali git e URL di repository privati. Da lì, il percorso porta a pipeline CI/CD e infrastrutture cloud.

      La parte più spaventosa è ciò che non lo cattura. L'attacco sfugge a EDR, firewall, IAM e VPN, perché nulla nella catena è non autorizzato. Tenet lo chiama "Catena di Intento Autorizzato". Anche i prompt non aiutano. Gli agenti hanno eseguito il codice anche quando è stato detto di ignorare i dati non fidati.

      Nessuno vuole prendersi la responsabilità della correzione

      Tenet ha informato Sentry il 3 giugno. Sentry ha riconosciuto il problema ma ha rifiutato di risolverlo alla radice, definendolo "tecnicamente non difendibile". Ha aggiunto un filtro per bloccare una specifica stringa di payload, che tratta il sintomo, non la causa.

      Quella situazione di stallo è la vera storia. Il difetto non è solo in Sentry. È nel modo in cui gli agenti gestiscono qualsiasi dato esterno, quindi lo stesso rischio si presenta attraverso ticket di supporto, problemi di GitHub e documentazione. Un test separato ha recentemente indotto un agente email AI a rivelare chiavi AWS.

      La lezione arriva mentre le imprese si affrettano a mettere gli agenti in produzione. Un agente collegato ai tuoi strumenti è anche un nuovo modo per entrare. Come dice Tenet, l'unico momento rimasto per fermare questo è il momento in cui l'agente decide di agire.