Investigadores de Tenet Security descubrieron Agentjacking, un ataque que engaña a agentes de IA para ejecutar código malicioso en máquinas de desarrolladores. El método explota una falla en Sentry mediante la inyección de errores falsos que la IA interpreta como instrucciones legítimas de reparación. Esto permite robar datos sensibles y credenciales, superando las defensas tradicionales ya que el agente actúa con los privilegios del usuario.





Investigadores de ciberseguridad han descrito lo que definen como una nueva clase de ataque que puede engañar a los agentes de codificación de inteligencia artificial (IA) para que ejecuten código arbitrario en las máquinas de los desarrolladores.

Denominado Agentjacking por Tenet Security, el ataque puede desencadenarse mediante un informe de error falso creado utilizando Sentry, una plataforma de código abierto de seguimiento de errores y supervisión del rendimiento.

"El ataque explota un fallo arquitectónico crítico en la intersección de la ingesta de eventos de Sentry (que acepta cargas útiles arbitrarias de cualquier persona con el DSN) y el servidor MCP de Sentry (que devuelve estos datos a los agentes de IA como una salida del sistema confiable)", afirmaron los investigadores de seguridad Ron Bobrov, Barak Sternberg y Nevo Poran aquí.

La idea es inyectar una entrada manipulada en los eventos de error de Sentry, que luego son interpretados por agentes de codificación como Claude Code y Cursor como pasos de resolución de diagnósticos legítimos y ejecutan código controlado por el atacante.

Un ataque exitoso de este tipo puede exponer datos sensibles, incluidas variables de entorno, credenciales de Git, URL de repositorios privados e identidades de desarrolladores, sin tener que depender de métodos como el phishing o la vulneración previa del servidor.

El problema de la confianza

El problema radica en la confianza implícita asociada con la conexión a servicios externos utilizando el Protocolo de Contexto de Modelo (MCP). Debido a que un agente de IA es incapaz de distinguir entre un evento de error generado por un fallo real de la aplicación o inyectado por un atacante, se crea una vía para la ejecución de código arbitrario cuando el agente procesa la respuesta.

La cadena de ataque ideada por Tenet es la siguiente:

* Un atacante encuentra el Nombre de Fuente de Datos (DSN aquí) del objetivo, una credencial pública de solo escritura que está incrustada en los sitios web.
* El atacante envía un evento de error malicioso al punto final de ingesta de Sentry mediante una solicitud POST utilizando el DSN.
* El evento inyectado contiene "markdown cuidadosamente formateado" en el campo de mensaje y en los nombres de las claves de contexto. Cuando el servidor MCP de Sentry devuelve este evento a un agente de IA, se renderiza como contenido estructurado visualmente idéntico a la plantilla del sistema de Sentry.
* Cuando un desarrollador pide a su agente de codificación de IA que "solucione los problemas de Sentry no resueltos" (o una instrucción similar), el agente consulta a Sentry a través de MCP y recibe el evento malicioso.
* El agente ejecuta el código malicioso, que se ejecuta con los privilegios completos del desarrollador.

Impacto y respuesta

"El atacante nunca toca la infraestructura de la víctima", explicaron los investigadores. "La instrucción maliciosa llega disfrazada de una 'Resolución' legítima dentro de un error ordinario. Cuando un desarrollador pide a su agente de IA que solucione el problema de Sentry, el agente lee el comando del atacante como una guía confiable y lo ejecuta, con los propios privilegios del desarrollador, en su propia máquina".

Agentjacking destaca porque se dirige al agente de IA en el que confía el desarrollador y utiliza un DSN de Sentry como punto de partida. Además, la inyección de markdown se renderiza de tal manera que el agente no puede distinguirla de una guía legítima de Sentry.

La empresa de ciberseguridad de IA dijo que encontró al menos 2,388 organizaciones expuestas con DSN inyectables válidos, y que probó el ataque de manera controlada contra más de 100 organizaciones, logrando una tasa de éxito de explotación del 85% contra errores inyectados en algunos de los asistentes de codificación de IA más utilizados.

Sentry, por su parte, ha reconocido el problema, pero optó por no solucionarlo, afirmando que "técnicamente no es defendible". Sin embargo, se dice que la empresa ha activado un filtro de contenido global que bloquea una "cadena de carga útil específica".

"A medida que las empresas se apresuran a implementar agentes de codificación de IA, esta investigación demuestra que los propios agentes son ahora la superficie de ataque, volviéndose contra los desarrolladores que confían en ellos, utilizando nada más que datos que esas organizaciones publican sobre sí mismas", dijo Tenet. "El ataque elude EDR, WAF, IAM, VPN, Cloudflare y firewalls, porque no hay nada malicioso que detectar. Cada acción en la cadena está autorizada".

Fuente:
THN