Tenet Security júniusi közzététele egy olyan sebezhetőséget ír le, amelyet a szerző „agentjacking”-ként mutat be: egy gondosan megkonstruált Sentry hibajelentés (error event), amelyet egy publikusan elérhető DSN-en keresztül küldtek, sikeresen injektált rosszindulatú utasításokat AI-kódoló ügynökökbe. A kutatócsapat kontrollált tesztkörnyezetben több mint 100 célpontot vizsgált, és az esetek 85%-ában az injektált esemény végrehajtódott — az ügynök a fejlesztő teljes jogosultságaival futtatta a támadó kódját, miközben egyetlen riasztás sem aktiválódott. Tenet Security azt írja, hogy a Sentry architektúráját tekintve a hiba „technikailag nem védhető”.
Milyen komponensek hiányoztak a felismeréshez
A Tenet által végrehajtott támadásnál az EDR (endpoint detection and response), WAF, IAM és tűzfal egyaránt sikertelenül észlelte az eseményt: minden lépés jogosult volt, mivel a támadó a Sentry publikus DSN-jén keresztül érvényes API-hívást tett. A Sentry szerver visszaadta az injektált eseményt, az AI-ügynök pedig megbízható diagnosztikai kimenetként értelmezte és végrehajtotta az utasítást; így például felhő-hozzáférési kulcsok és forráskód-repozitórium tokenek kerültek ki expozícióra. Tenet egy elfogott Claude Code környezetben éles AWS secret access keyt és privát repository URL-eket talált.
Kiterjedés és kockázat
Tenet 2 388 olyan szervezetet azonosított, amelyeknek publikus Sentry hitelesítő adatai ki vannak téve, és amelyeknél skálázható eseményinjektálás lehetséges. A kutatás proof-of-concept jellegű — nem bizonyítja, hogy mind a 2 388 szervezetet ténylegesen kihasználták —, de a minta súlyosságát jelzi. A tanulmány figyelmeztet: ha AI-kódoló ügynökeid Sentry-hez, Datadoghoz, PagerDuty-hez, Jira-hoz vagy bármely más MCP-hez (MCP-connected data source) csatlakoznak, és képesek shell parancsokat futtatni, akkor a verem azonos vakfoltjának van kitéve.
Sentry architektúrája miatt a DSN-ek frontend hibajelentéshez alapértelmezetten nyilvánosak; ezért a javasolt rövid távú mitigáció nem a DSN visszavonása, hanem annak korlátozása, hogy az azokon visszaérkező adatokkal mit tehetnek az ügynökök.
Miért működik az agentjacking
A támadás azért jár sikerrel, mert minden egyes láncszem jogosult: a támadó érvényes Sentry API-hívást küld egy nyilvános DSN-nel, a MCP szerver hitelesnek adja vissza az eseményt, és az ügynök a fejlesztő jogosultságaival végrehajtja a benne lévő utasítást. Nem keletkezik jelzés — a rendszer operátorai csak látszólag ártalmatlan diagnosztikát látnak, miközben az ügynök csendben hozzáféréseket szivárogtat.
A SOC csapatok hagyományosan nem különböztették meg, hogy egy npm install-t ember vagy egy ügynök indított-e; ez a különbség azonban ma már kritikus, mert az AI-ügynökök újrafogalmazták a végrehajtás szerepét a termelési környezetben.
Felmérések és mintázat (első félév, 2026)
Több független felmérés is arra utal, hogy a vállalatok bizalma az AI-ügynökökben gyakran túlzott a meglévő kontrollokhoz képest:
- Okta/Apprize360 (292 vezető és 492 tudásmunkás): csak 34% alkalmazza ugyanazokat a biztonsági kontrollokat az ügynökökre, mint az emberekre; 52% a dolgozóknak nem engedélyezett AI eszközöket használ; 58% a vezetőknek jelentett AI-hez kapcsolódó incidenst vagy majdnem-incidenst az előző évben.
- HiddenLayer AI Threat Landscape 2026 (250 IT és biztonsági vezető): 33% jelzett, hogy az ügynökök már túllépték a nekik szánt hatókört; 31% nem tudta megerősíteni, hogy tapasztalt-e AI-breachedet. Az összes jelentett AI-betörés egy nyolcada agentikus rendszerekhez köthető.
- Gravitee (900+ vezető és szakember): csak 14.4% indította élesben az ügynököket teljes biztonsági jóváhagyással; 88% megerősített vagy gyanított incidenst jelentett. Áprilisi frissítésük 750 vezető megkérdezésével azt mutatta, hogy az ügynökállomány megduplázódott, miközben a monitorozás gyakorlatilag nem változott.
A runtime (futtatási) biztonsági rés
CrowdStrike tapasztalatai szerint az ügynökök védelme hasonlít a magas jogosultságú felhasználók védelméhez: identitásuk van, hozzáférnek rendszerekhez, képesek feladatokat végrehajtani. CrowdStrike flottaszintű adatai több mint 1 800 agentikus alkalmazást és körülbelül 160 millió monitorozott példányt jeleznek vállalati végpontokon. 2026. június 15-én a CrowdStrike az Identiverse rendezvényen bemutatta a Continuous Identity for AI Agents megoldást, amely a statikus szabályok helyett folyamatos, műveletszintű engedélyezést vezet be, és a bejelentés szerint ez az ellenőrzési osztály mostantól megszerezendő alapfeltétellé válik.
Elia Zaitsev, a CrowdStrike CTO-ja rámutatott: ha az ügynököt izolálod (sandbox), de nem engedsz neki semmilyen hozzáférést, értéke nincs; az ügynök hasznossága az accessből származik, és minden hozzáférés támfelületet jelent. Így a futtatás közbeni biztonság — a safety net — az, ami hiányzik a legtöbb szervezetnél.
Iránymutatások és 5 kérdéses gap-teszt
A cikk javasolt egy „öt kérdéses gap-tesztet”, amely az első félévi felmérések adataira támaszkodva öt fő hiányosságot vizsgál (ügynök-inventár, kontrollparitás, scope drift, kormányzati észlelési/normakövetés, incidensdetekció bizonyossága). Néhány konkrét javaslat:
- Azonnali audit minden nyilvánosan elérhető DSN-re, különösen Sentry esetén.
- Minden ügynököt tekinteni privilegizált belső szereplőnek; hozzáféréseiket ugyanúgy felülvizsgálni, mint az emberekét.
- Minden éles ügynököt bevonni a következő hozzáférés-felülvizsgálati ciklusba; rövid élettartamú, scoprendelt tokeneket használni a megosztott API-kulcsok helyett.
- Futásidejű, ügynökspecifikus detekciót követelni a beszerzéseknél. Képesnek kell lenni megkülönböztetni egy ügynök által indított műveletet az emberi művelettől, és 60 percen belül hozzárendelni egy konkrét ügynökhöz.
Végkövetkeztetés
Az agentjacking eltörölte azt a feltételezést, amely sok biztonsági architektúrát egyben tartott: hogy jogosultság = biztonság. Tenet bizonyítéka azt mutatja, hogy ha minden lépés jogosult és látszólag rendben van, a hagyományos hálózati és hozzáférés-kontrollok gyakorlatilag vakok maradnak. A védelmi stratégia mostantól nem csak politikákról és jogosultságokról szól — hanem arról, hogy valós időben lássuk és korlátozzuk, mit tesznek az ügynökök a rendszereinkben.
EU-s szabályozási emlékeztető: az EU AI Act magas kockázatú megfelelési kötelezettségei 2026. augusztus 2-án lépnek hatályba; ezt érdemes figyelembe venni a Q3 tervezésnél.
