Uma chave pública do Sentry basta para comprometer Claude Code, Cursor e Codex

Agentjacking não é um ataque de exploração tradicional, mas sim uma falha de confiança cega: um agente de IA executa comandos porque foi treinado para acreditar que dados vindos de serviços confiáveis, como o Sentry, são legítimos. O DSN do Sentry, documentado como seguro para uso em frontend, é apenas uma credencial de escrita, sem autenticação. Isso funcionou por anos porque humanos ignoravam logs de erro como fonte de instruções. Agora, agentes como Claude Code, Cursor e Codex os lêem como orientações, e o markdown injetado se torna um comando executável. A carga útil não precisa de malware: basta um evento de erro com um bloco de código npx que o agente interpreta como correção válida.

Ao invés de quebrar permissões, o ataque usa as permissões já existentes. O agente tem acesso ao ambiente do desenvolvedor, às variáveis de ambiente, aos tokens do GitHub e às chaves da AWS. Cada passo é autorizado: o Sentry aceita o evento, o MCP entrega o contexto, o agente executa o comando. Firewalls, EDR e WAF não veem nada suspeito porque nada foi bloqueado. O problema não está no código do agente, mas na arquitetura de confiança entre serviços externos e modelos de IA. Isso transforma a telemetria de erro em superfície de ataque.

Esse ataque redefine o que significa uma dependência de terceiro. Até agora, equipes de segurança avaliavam bibliotecas npm, APIs e SDKs. Agora, qualquer integração MCP, Sentry, Datadog, New Relic, até logs de CI/CD, pode ser um vetor de execução remota. O que antes era considerado 'dados de monitoramento' passa a ser 'código potencialmente executável'. Empresas que usam agentes de código em produção, mesmo em ambientes isolados como WSL, CI pipelines ou VPNs corporativas, estão expostas. A resposta do Sentry de não corrigir o DSN e sugerir que as plataformas de IA bloqueiem o conteúdo é insuficiente: modelos de IA não são confiáveis para filtrar instruções maliciosas em dados de entrada. A única defesa viável é bloquear a execução de comandos por agentes em runtime, tratando cada MCP como uma dependência não confiável até que seja validada.