2026 年 6 月，安全公司 Tenet Security 披露了名为 Agentjacking 的攻击演示：攻击者向 Sentry 提交伪造的错误报告，把恶意指令写成修复建议。当开发者要求 AI 编程助手处理这些错误时，助手可能把报告中的文字当成指令，在自己的运行环境中执行代码。
Tenet 称，其受控验证中有超过 100 个助手执行了注入内容，利用成功率约为 85%；另发现至少 2,388 家组织存在可注入的公开 Sentry DSN。这些是研究团队报告的测试与扫描结果，公开 DSN 并不等于所有相关组织都已发生代码执行。
这一案例关注的是外部数据如何变成操作指令。助手通过 MCP（模型上下文协议）读取服务中的内容，并不意味着内容作者有权指挥助手。连接的服务可以是可信的，其中的一条错误报告仍可能由外部人员构造。
错误报告被当成修复指令，攻击才会进入执行环节
这条攻击链使用了正常的上报、查询和命令执行接口。Tenet 将其称为“授权意图链”，但这里的授权只涉及接口和账户权限，不代表开发者批准了恶意指令。
第一步：找到上报入口。 DSN 告诉 Sentry 客户端把事件发送到哪个项目，可能公开出现在前端代码或移动应用中。它不是读取后台项目的管理密钥。Tenet 报告发现 2,388 家组织的 DSN 可接受注入事件，其中 71 家位于 Tranco 前百万网站之列。
第二步：提交伪造事件。 在研究所验证的入口，持有 DSN 即可向事件接收接口提交报告。攻击者可以控制报告中的错误信息、堆栈、标签和上下文等内容，把这些字段用于传递外部文字。
第三步：伪装成诊断建议。 报告中的 Markdown 标题、代码块和结构化文本，被写成“解决方案”的样式。经 MCP 工具返回后，这些外部内容容易与工具自身的说明混在一起，让助手误判其可信程度。
第四步：助手读到报告。 开发者要求助手“修复未解决的 Sentry 问题”，助手通过 MCP 查询并接收到伪造事件。危险发生在它把报告内的建议当成可执行指令，而没有继续核对代码和原始故障。
第五步：调用执行工具。 助手可能按假诊断建议下载并运行攻击者控制的程序。代码可访问哪些文件、网络与凭据，取决于助手和子进程实际拥有的权限，而非一律获得整台机器的全部权限。
第六步：确认可访问范围。 按 Tenet 的说明，验证程序探测了环境变量、凭据文件和网络环境，并回传用于确认暴露的元数据。报告显示部分环境中存在可触及的云凭据、代码托管令牌和 CI/CD 信息，说明代码执行可能进一步威胁其他系统。这些记录主要证明了可访问范围，未逐项展示所有凭据的完整内容。
正常工具也会执行恶意操作，检测需要结合行为与目的
助手使用熟悉的开发工具，会给检测带来困难。仅判断进程是否可信、账户是否有权限，不一定能识别这次操作是否符合开发者的意图。
例如，终端安全系统看到的可能是编程助手启动包管理器；身份系统确认账户拥有相应权限，但不了解指令来自哪里。代码下载、异常凭据读取和外传流量仍可能留下可检测的行为信号。WAF 通常保护 Web 应用入口，也不能代替开发机上的进程与网络控制。
Tenet 对机制的解释是：恶意指令藏在普通错误报告中，以解决方案的形式进入助手工作流程。攻击不要求事先登录开发机，但必须让报告被读取，并诱使助手调用执行工具。
因此，报告所展示的是一些测试环境未阻止这条链路，不能据此断言 EDR、防火墙或沙箱全部无效。代码执行权限、凭据隔离和出站限制，都可能在不同环节降低影响。
Sentry 的过滤措施，仍需与助手端的权限控制配合
据 Tenet 对沟通经过的描述，研究团队于 6 月 3 日向 Sentry 披露问题，Sentry 当天回应，并认为这类风险难以在源头彻底防御。研究期间，Sentry 启用了针对特定注入字符串的全局过滤。上述回应由研究方转述，过滤范围也不等同于所有后续防护能力。
可以考虑的措施包括限制上报来源、减少报告中的指令混入，以及在工具返回时标明外部数据。它们各有适用条件：客户端遥测需要接受公开环境的上报，而文本过滤也很难覆盖所有表达方式。还需要在助手准备执行操作时检查权限和用途。
平台与助手的责任需要衔接。错误监控服务应帮助区分数据来源，助手则应把外部报告作为分析材料，而非新的授权。部署组织还需要明确，哪些数据可以触发查询，哪些行动需要复核，以及发生异常时如何追踪来源。
工单、日志和代码评论，也可能带入外部指令
通过外部工具返回内容来影响助手，属于间接提示注入的一种形式。它与 MCP 服务器本身遭入侵或实现存在命令注入漏洞，需要分别分析。
相关安全研究还关注恶意工具说明、服务器改变工具行为，以及通过模型请求诱导额外操作等问题。共同点是低可信内容可能影响助手的决定；具体能否执行代码、访问文件或持续影响会话，取决于各自的实现和授权方式，不能把不同测试的成功率直接合并。
OWASP 在其 2026 年 Agentic Application Top 10 中将此类攻击形式归类为 ASI01: Agent Goal Hijack（Agent 目标劫持），并将其确定为十大 AI Agent 威胁类别之一。
Sentry 案例提醒部署者，还要检查工具读取的数据源。问题追踪器、客服工单、代码评论和日志聚合服务，都可能包含用户或外部人员提交的内容。如果助手随后把这些内容升级为指令，就会出现类似的信任问题；并不要求连接的服务先被攻破。
比较此类研究时，需要同时看助手版本、默认权限、攻击尝试次数和成功判定。Tenet 的 85% 是其报告中的测试结果，不应当作所有产品与配置的固定风险水平。
限制执行权限、凭据访问和出站连接，缩小攻击影响
防御可以同时做两件事：识别可疑行为，并减少一次错误执行能够触及的资源。只增加“不要相信外部内容”的提示，不能替代实际的执行限制。
检查接入与执行规则。 先盘点助手连接哪些 MCP 服务，哪些内容可由外部人员提交。对不需要的连接可以关闭；对保留的连接，应限制自动运行陌生命令或安装软件包。公开 DSN 是客户端上报的常见设计，单纯轮换后再次公开并不能根治问题。若使用服务端中继，还需要验证来源和限制请求，而非只隐藏一个地址。
隔离运行环境。 使用最小权限的沙箱或容器，限制文件、环境变量和网络出口；为云服务、CI/CD 与软件注册表配置短期、限定用途的凭据。限制要覆盖助手启动的子进程，否则禁止助手直接读取文件，也可能被其运行的程序绕过。对新的执行行为设置复核，可以再增加一道检查。
Tenet 还公开了 Agent-JackStop，为 Cursor 和 Claude Code 提供加固配置，重点包括默认限制出站网络、执行审批、阻止凭据读取和不可信输出规则。项目说明也指出，这些配置用于缩小影响范围，不能保证助手免受提示注入。
持续验证。 团队可以把提示注入与工具投毒纳入常规测试：从日志和工单进入的文字，是否能够触发未经预期的安装、文件读取或外传。再结合 Cloud Security Alliance 的 MAESTRO 等威胁建模框架，明确数据来源、行动权限、审计和事件响应各由谁负责。
这项研究的实际提醒是，读取信息和获得授权应当分开。一条错误报告可以帮助定位故障，却不应自行决定助手安装什么、读取哪些凭据或向哪里发送数据。把这些操作限制落实到运行环境中，才能在模型误判时保留可执行的防护。
