Agentjacking（AI 代理劫持）

Agentjacking 的攻击链只有四步，但每一步都利用了 AI 编程代理的「信任假设」。第一步：注入恶意 Sentry 错误——攻击者在目标项目依赖的 npm 包中注入恶意代码，通过 Sentry SDK 上报一条精心构造的错误报告，Markdown 内容中隐藏攻击指令。

第二步：开发者使用 AI 工具调试——开发者在 IDE 中看到 Sentry 错误通知，让 AI 编程代理帮忙分析。第三步：AI 代理读取恶意 Markdown——AI 代理通过 MCP 连接 Sentry，读取错误报告完整内容，包括隐藏的指令。

第四步：AI 代理执行恶意代码——AI 代理将 Markdown 中的指令理解为合法任务，在开发者机器上执行攻击者指定的操作。攻击成功率高达 85% 的根本原因在于三个系统性缺陷：信任所有上下文输入、拥有过高的系统权限、缺乏行为边界。

Tenet Security 的测试覆盖了 2026 年主流 AI 编程代理工具：Claude Code（< 1.0.35 版本，攻击成功率约 90%，已在 v1.0.35+ 修复）、Cursor（< 0.52 版本，约 85%，已在 v0.52+ 修复）、OpenAI Codex 和 Windsurf 也受影响。Tenet Security 于 2026 年 6 月 3 日向 Sentry 报告了该漏洞，Sentry 随后添加了内容过滤器，但由于 AI 代理将不可信输出视为命令的根本问题，更广泛的修复仍然具有挑战性。防御建议包括：

• 限制 AI 代理的系统权限，禁止直接执行 shell 命令
• 对 AI 代理的输入进行内容过滤和沙箱隔离
• 审查项目中的 Sentry DSN 配置，确认是否暴露
• 使用运行时监控检测 AI 代理的异常行为

Agentjacking 之所以能够成功，根本原因在于 MCP（Model Context Protocol）协议的隐式信任模型存在系统性缺陷。MCP 是 Anthropic 推出的开放协议，用于标准化 AI 模型与外部工具/数据源的交互。

其核心设计理念是 AI 代理通过 MCP 连接器访问外部资源（文件系统、数据库、错误追踪系统等），但协议假设所有通过连接器传入的内容都是「可信的数据」。这个假设在 Agentjacking 攻击中被彻底打破——来自 Sentry 的错误报告本应是「需要分析的信息」，却包含了「需要执行的指令」。

这揭示了 MCP 生态的一个深层问题：数据与指令在同一上下文中混合传递，AI 代理无法区分。OWASP 已将提示注入列为 LLM 应用的重大安全风险，并建议实施输入输出过滤、最小权限访问、人工监督和对抗性测试等缓解策略。