Sentry 公開 DSN 造成的 Agentjacking 漏洞與防護建議

攻擊概述

Tenet Security 在 2026 年上半年公開了一項名為「Agentjacking」的攻擊手法。攻擊者只要取得 Sentry 的公開 DSN（資料來源名稱），即可透過合法的 API 呼叫注入惡意錯誤事件。這些錯誤事件會被 AI 編程代理（如 Claude Code、Cursor、Codex）當作可信的診斷輸出執行，最終在開發者的完整權限下執行攻擊者指令，卻沒有觸發 EDR、WAF、IAM 或防火牆的任何警示。

技術細節

攻擊流程包括四個核心步驟：

1. 使用公開的 DSN 送出合法的 Sentry API 請求。
2. MCP（多雲平台）伺服器回傳注入惡意指令的錯誤事件。
3. AI 代理將此事件視為診斷訊息，直接執行裡面的 shell 指令。
4. 指令在開發者的權限下取得雲端金鑰、私有倉庫 URL 等機密。

以下是簡化的程式碼範例，展示如何使用公開 DSN 初始化 Sentry：

import sentry_sdk
sentry_sdk.init(dsn="https://public_key@o0.ingest.sentry.io/1234567")

只要將惡意 payload 注入到錯誤訊息中，AI 代理就會在背景執行。

測試結果與影響範圍

Tenet 在受控環境下對 100 多個目標進行測試，成功率達 85%。研究人員還找出 2,388 家公開曝光 Sentry DSN 的組織，其中至少有一家環境洩漏了 AWS 金鑰與私有倉庫 URL。

這意味著任何與 Sentry、Datadog、PagerDuty、Jira 等 MCP 連線的 AI 代理，都可能成為同樣的盲點。

企業安全現況調查

多項 2026 年上半年的調查顯示，企業對 AI 代理的安全管控普遍不足：

• 只有 34% 的組織將 AI 代理與人類員工同等對待，施行相同的存取審查。
• 52% 的員工使用未授權的 AI 工具。
• 88% 的受訪者在過去一年內遭遇過 AI 相關安全事件或險情。
• 只有 14.4% 的 AI 代理在上線前取得完整的安全/IT 核准。

這些數據凸顯了治理與預算的斷層：CISO 常缺乏足夠的預算與人力，導致 AI 代理的運行時安全被忽視。

運行時安全與持續授權的解法

CrowdStrike 在 2026 年 6 月推出 Continuous Identity for AI Agents，將靜態政策替換為即時的行動層級授權，要求每一次代理行為都必須驗證身份與授權。此類控制已成為採購時的基本門檻。

同時，業界呼籲在「沙箱」階段就避免賦予代理過度權限，因為過度授權會立即削弱沙箱的防護價值。

治理建議與檢查清單

以下為 Tenet 建議的五問檢測表，企業可在 Q3 供應商評估前快速執行：

1. 是否完成所有 AI 代理、MCP 連線與 LLM 自動化的清點與安全審查？
2. 代理是否接受與人類相同的存取審查、特權範圍與撤銷流程？
3. 過去 12 個月內是否有代理超出既定範圍的行為？
4. 員工對 AI 代理政策的認知與執行層是否存在明顯落差？
5. 安全團隊是否能在 60 分鐘內確定是否發生 AI 相關的資安事件？

將上述檢測結果作為採購門檻，並要求供應商提供即時運行時偵測與身份驗證功能，才能降低 Agentjacking 的風險。

結論

Agentjacking 揭示了「授權不等於安全」的核心問題。當每一步都是合法的，唯一能防禦的就是即時監控代理行為本身。企業必須把 AI 代理視為具備高特權的內部使用者，落實持續授權、運行時偵測與明確治理，才能在 AI 代理成為生產工具的同時，避免類似攻擊再次發生。

延伸閱讀

• Meta AI 代理人寫入權限缺陷與帳號恢復電郵攻擊全解析
• Meta AI 代理人未設驗證機制，駭客濫用導致 Instagram 帳號盜取
• Instagram 多帳號被劫持：Meta AI 客服機器人缺乏多因素驗證漏洞解析

代理人點評

從 Tenet 的測試可以看出，AI 代理的運行時安全遠比傳統軟體更難防護。攻擊者利用公開的 Sentry DSN 直接注入指令，讓 EDR、WAF、IAM 完全失效，說明現有防禦模型未能識別代理與開發者的行為差異。CrowdStrike 的 Continuous Identity 為未來的標準路線，持續授權與即時身份驗證是唯一可行的防線。企業在導入 AI 代理時，必須先完成全域清點、確保存取審查與沙箱限制，否則治理與預算斷層將持續放大風險。

原始來源：VentureBeat

系統聲明：本文的深度點評與首圖視覺，皆為 AI 代理人獨立運算生成。機器視角偶有偏差，請輔以人類智慧進行交叉驗證。