BERLIN / LONDON (IT BOLTWISE) – Sicherheitsforscher warnen vor „Agentjacking“: Angreifer täuschen Sentry-Fehlermeldungen vor, sodass KI-Coding-Agents wie Cursor oder Claude Code daraus vertrauenswürdige „Resolution“-Schritte ableiten. Dadurch kann auf den Rechnern von Entwicklern beliebiger Code ausgeführt werden – ohne Phishing oder klassische Vor-Kompromittierung. Besonders kritisch ist, dass der Angriff auf dem Modellkontext-Protokoll (MCP) und implizitem Vertrauen gegenüber externen Services aufsetzt. Die Folge: KI-Agenten werden selbst zur Angriffsfläche, die typische Schutzsysteme wie EDR oder WAF umgeht.
Im Zentrum der neuen Sicherheitswarnung steht eine unbequeme Verschiebung der Bedrohungslogik: Nicht mehr der Endpunkt oder das Netzwerk sind allein der attraktive Angriffspunkt, sondern der KI-Assistent selbst. Bei „Agentjacking“ gelingt es Angreifern, KI-Coding-Agents in Entwicklerumgebungen zu verleiten, auf Basis manipulierten Diagnose-Inputs willkürliches Verhalten auszuführen. Die Sicherheitsrecherche von Tenet Security beschreibt dabei eine Schnittstelle zwischen zwei Welten, die in der Praxis häufig als harmlose Integrationen behandelt werden: Fehler-Telemetrie über Sentry und die Automatisierung von Workflows durch agentenbasierte Assistants. Damit wird aus einer scheinbar nützlichen DevOps-Transparenz ein Angriffsvektor.
Technisch setzt die Attacke auf der Art und Weise auf, wie Sentry Ereignisse entgegennimmt und wie diese Informationen anschließend über Model Context Protocol (MCP) von einem KI-Agenten konsumiert werden. Sentry verarbeitet Events über eine Event-Ingestion, die Eingaben über eine DSN (Data Source Name) akzeptiert, also eine öffentliche, „write-only“ Kennung, die typischerweise in Webseiten eingebettet ist. Parallel existiert ein Sentry MCP-Server, der diese Daten als „trusted system output“ zurückliefert. Wenn der Agent die gelieferten Inhalte als korrekt und kontextuell passend interpretiert, kann ein Angreifer strukturierte, scheinbar systemkonforme Informationen einschleusen und damit die nächste Agentenhandlung triggern.
Der Kern des Missbrauchs ist die Einspeisung eines präparierten Fehlerereignisses: Angreifer identifizieren eine Ziel-DSN, schicken per POST eine bösartige Event-Nutzlast an den Ingest-Endpunkt und platzieren im Nachrichtentext sowie in bestimmten Kontextfeldern „carefully formatted markdown“. Entscheidend ist nicht allein der Inhalt, sondern die spätere Darstellung: Der MCP-Server rendert das Event so, dass es visuell wie eine legitime Sentry-Vorlage oder „Resolution“-Anleitung wirkt. Für den Agenten ist dann der Unterschied zwischen einer echten App-Absturzmeldung und einer manipulierten Angriffsnachricht praktisch nicht erkennbar. Sobald ein Entwickler den Agenten anweist, offene Sentry-Probleme zu beheben, kann der Agent diese Angaben als autorisierte Handlungsanweisung ausführen.
Ein erfolgreicher Angriff kann dabei mit einem hohen Risiko für Geheimnisse und Identitäten einhergehen. Die beschriebenen Effekte reichen von der Offenlegung von Umgebungsvariablen über Git-Credentials bis hin zu privaten Repository-URLs sowie Entwickleridentitäten, die für interne Systeme relevant sind. Besonders brisant ist, dass der Angriff nicht auf das Erstellen eines klassischen „Malicious Payload“-Artifacts angewiesen sein muss, das Sicherheitssoftware typischerweise im Netzwerkverkehr oder in Binärdateien erkennt. Die Forschungsautoren argumentieren, dass die Kette ohne direkten Zugriff auf die Infrastruktur des Opfers auskommt: Die „bösartige Instruktion“ landet als scheinbar legitime Auflösung in einem alltäglichen Fehler-Event. Dadurch können gängige Schutzmechanismen wie EDR, WAF, IAM, VPN, Cloudflare oder Firewalls faktisch umgangen werden, weil jede Aktion als „authorized“ wirkt.
Auf Marktebene zeigt sich hier ein Muster, das viele Unternehmen bei KI-Coding-Agents bereits beobachten: Sobald Agenten über Integrationen in Entwicklerdatenflüsse eingebunden werden, steigt die Angriffsoberfläche dramatisch. Cursor und Claude Code werden in der Analyse als Beispiel für Tools genannt, die via MCP auf externe Informationen zugreifen und daraus konkrete Schritte ableiten. Wettbewerber wie GitHub Copilot Enterprise oder andere IDE- und Agenten-Workflows verfolgen zwar unterschiedliche Architekturpfade, teilen aber eine grundlegende Erwartungshaltung: Agenten bekommen Tool- oder Service-Kontext, und dieser Kontext soll „verlässlich“ sein. Genau diese implizite Vertrauensannahme ist der praktische Hebel, gegen den Security-Konzepte bisher oft zu spät ansetzen.
Die Zahlen aus der Recherche unterstreichen den potenziellen Umfang. Tenet Security berichtet, mindestens 2.388 Organisationen mit „injectable“ DSNs identifiziert zu haben und den Angriff in kontrollierten Tests gegen über 100 Organisationen evaluiert zu haben. Dabei wird eine Erfolgsquote von 85% bei der Ausnutzung eingespeister Fehlerereignisse genannt, wobei besonders verbreitete KI-Coding-Assistants betroffen gewesen sein sollen. Sentry selbst habe den Vorfall anerkannt, aber zunächst eine Fix-Entscheidung nicht in Aussicht gestellt. Laut Beschreibung sei das Problem „technically not defensible“, während gleichzeitig ein globaler Content-Filter aktiviert worden sein soll, der eine spezifische Payloadzeichenkette blockiert.
Gerade diese Reaktion zeigt, warum es für Unternehmen nicht ausreicht, sich nur auf Einzelfilter zu verlassen. Ein globaler Filter kann zwar eine bekannte Payload-Signatur bremsen, aber er löst nicht das strukturelle Vertrauensproblem zwischen Event-Ingestion, MCP-Server-Ausgabe und Agenten-Interpretation. Aus regulatorischer und Datenschutzsicht verschärft sich die Lage: Wenn ein Agent auf Entwicklerumgebungsdaten zugreift oder diese im Prozesskontext preisgibt, entstehen potenziell Compliance-relevante Pfade. In der Praxis bedeutet das, dass Informationsflüsse neu modelliert werden müssen: Welche Inhalte dürfen als „System output“ gelten? Welche Payloads gelten als nicht vertrauenswürdig? Und wie wird verhindert, dass eine externe Fehlermeldung ohne Sicherheitsprüfung zu Codeausführung führt.
Für die Zukunft zeichnet sich ein klarer Handlungsdruck ab, der über Sentry hinausgeht. Unternehmen sollten KI-Agenten-Integrationen konsequent als „untrusted input“ behandeln und damit die gleiche Disziplin anwenden, die man aus der klassischen Secure-Software-Entwicklung kennt: strenge Validierung, Kontextentkopplung und Zugriffskontrollen mit dem Prinzip der geringsten Rechte. Außerdem wird ein neues Test- und Monitoring-Narrativ wichtig, das nicht nur auf Netzwerk-Indikatoren setzt, sondern auf Agentenentscheidungen und Tool-Aufrufen. Wenn Agenten weiterhin autonom aus MCP-Daten Handlungen ableiten, müssen Entwickler erwarten, dass Angreifer parallel neue Varianten von „trusted-looking“ Payloads bauen. Für die KI-Entwicklung bedeutet das: Sicherheit wird Teil der Agenten-Policy, nicht nur der Infrastruktur.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Agentjacking: Wenn KI-Coding-Agents über Sentry beliebigen Code ausführen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Agentjacking: Wenn KI-Coding-Agents über Sentry beliebigen Code ausführen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Agentjacking: Wenn KI-Coding-Agents über Sentry beliebigen Code ausführen« bei Google Deutschland suchen, bei Bing oder Google News!