Napad 'agentjacking' pogodio skoro 2.400 organizacija
Istraživači su otkrili napad koji zloupotrebljava Sentry alat za praćenje grešaka i navodi AI agente za kodiranje da izvrše zlonameran kod, sa stopom uspeha od 85 odsto.
- Novi napad nazvan agentjacking zloupotrebljava Sentry, popularni alat za praćenje grešaka, da prevari AI agente za kodiranje.
- Pogođeno je 2.388 organizacija koje koriste agente poput Claude Code i Cursor.
- Stopa uspešne eksploatacije iznosila je čak 85 odsto.
- Napad navodi agenta da izvrši zlonameran kod tokom potpuno rutinskog posla.
Šta se dešava kada alat kome verujete da prijavljuje greške postane upravo onaj koji vas napada? To je tačka u kojoj boli novi napad koji su bezbednosni istraživači nazvali agentjacking. Umesto da provaljuje lozinke ili traži rupu u serveru, on cilja nešto novije, AI agente za kodiranje koje sve više programera pušta da rade samostalno.
Mehanizam je neugodno jednostavan. Sentry je alat koji hvata greške u aplikaciji i pravi uredan izveštaj o tome šta je puklo. AI agent poput Claude Code ili Cursor taj izveštaj pročita kao deo svog posla, da bi razumeo problem i predložio popravku. Napad ubacuje skrivene instrukcije baš u te izveštaje o greškama. Agent ih pročita, protumači kao legitiman zadatak i izvrši zlonameran kod, sve to tokom rada koji izgleda potpuno normalno.
Brojke su ono što ovu priču izdvaja. Istraživači su izbrojali 2.388 pogođenih organizacija, a stopa uspeha eksploatacije bila je 85 odsto. To nije marginalna rupa koja radi u laboratoriji pa pukne u praksi. To je napad koji prolazi u skoro devet od deset pokušaja.
Kako tačno napad prevari agenta?
Cela ideja se oslanja na jednu naviku koju smo sami uveli. AI agentu dajemo pristup alatima i govorimo mu da slobodno čita podatke iz njih, jer tako brže rešava probleme. Sentry izveštaj o grešci je za agenta samo još jedan tekst koji treba da obradi. Problem je što agent ne pravi jasnu granicu između podataka koje čita i naredbi koje treba da izvrši.
Napadač zato u izveštaj o grešci upisuje rečenicu koja zvuči kao uputstvo. Za čoveka koji čita log to je sumnjiv red teksta. Za agenta koji je naučen da bude od pomoći to lako postane zadatak. Tu nastaje šteta, jer agent često ima ovlašćenja da menja fajlove, pokreće komande ili pristupa drugim sistemima.
Vredi reći šta ovo nije. Nije reč o propustu u samom Claude Code-u ili Cursor-u u klasičnom smislu, niti o virusu koji se sam širi. Reč je o načinu na koji povezujemo pouzdane alate sa agentima koji imaju previše slobode, a premalo provere šta je zaista naredba.
Šta da uradite ako koristite ovakve alate
Prvo, suzite ovlašćenja agenta. Ako agent ne mora da ima pravo da pokreće proizvoljne komande na sistemu, oduzmite mu ga. Naša preporuka je princip najmanje privilegije, agent dobija tačno onoliko pristupa koliko mu treba za zadatak i ni korak više.
Drugo, tretirajte sadržaj iz spoljnih alata kao nepouzdan, čak i kada dolazi iz alata kome inače verujete. Izveštaj o grešci je podatak, ne naredba. Ako vaš tim gradi sopstvene tokove sa agentima, vredi dodati sloj koji jasno odvaja ono što agent čita od onoga što sme da izvrši.
Treće, uključite pregled pre izvršavanja za sve što agent radi na osetljivim mestima. Da, to usporava posao. Ali stopa uspeha od 85 odsto je dovoljan razlog da na trenutak prihvatite manje udobnosti.
Ovo otkriće stiže baš dok timovi sve brže puštaju autonomne AI agente u razvoj softvera. Trka za brzinom je razumljiva, ali svaki novi alat kome agent veruje postaje i nova vrata kroz koja neko može da uđe. Koliko vi zaista znate šta vaš AI agent sme da uradi bez vašeg odobrenja?
