Agentjacking: Kỹ thuật tấn công mới lừa AI coding agent thực thi mã độc

Một nhóm các nhà nghiên cứu bảo mật tại Tenet Security vừa công bố phát hiện về một lớp tấn công mới mang tên Agentjacking. Kỹ thuật này cho phép kẻ tấn công đánh lừa các AI coding agent (như Claude Code hay Cursor) để thực thi mã độc tùy ý trên máy tính của lập trình viên mà không cần thông qua các phương thức truyền thống như phishing hay xâm nhập server.

Cơ chế tấn công Agentjacking

Cuộc tấn công lợi dụng lỗ hổng kiến trúc tại điểm giao thoa giữa hệ thống theo dõi lỗi Sentry và giao thức Model Context Protocol (MCP). Cụ thể, kẻ tấn công sử dụng Sentry Data Source Name (DSN) – một loại credential công khai thường được nhúng trong mã nguồn website – để gửi các sự kiện lỗi giả mạo vào hệ thống Sentry.

Khi lập trình viên yêu cầu AI coding agent kiểm tra hoặc sửa lỗi từ Sentry, agent sẽ truy vấn dữ liệu thông qua MCP. Lúc này, các thông tin giả mạo được kẻ tấn công chèn vào (dưới dạng markdown) sẽ được AI hiểu nhầm là các hướng dẫn khắc phục sự cố hợp lệ. Kết quả là, AI sẽ tự động thực thi các lệnh độc hại với đầy đủ quyền hạn của người dùng trên máy tính cá nhân.

Tại sao Agentjacking nguy hiểm?

Theo nhóm nghiên cứu, Agentjacking đặc biệt nguy hiểm vì nó biến chính công cụ mà lập trình viên tin tưởng thành vũ khí tấn công. Các hành động thực thi mã độc này thường vượt qua được các lớp bảo mật truyền thống như EDR, WAF, VPN hay tường lửa, vì mọi thao tác đều được hệ thống ghi nhận là hành động hợp lệ do người dùng ủy quyền.

Kết quả thử nghiệm trên hơn 100 tổ chức cho thấy tỷ lệ tấn công thành công lên tới 85%. Kẻ tấn công có thể dễ dàng đánh cắp các dữ liệu nhạy cảm như biến môi trường (environment variables), thông tin xác thực Git, URL kho lưu trữ riêng tư và danh tính của lập trình viên.

Phản hồi từ phía Sentry

Phía Sentry đã ghi nhận vấn đề này nhưng cho rằng đây là một thách thức kỹ thuật khó có thể khắc phục triệt để. Hiện tại, công ty đã triển khai một bộ lọc nội dung toàn cầu để chặn các chuỗi payload cụ thể được sử dụng trong các cuộc tấn công đã biết. Tuy nhiên, các chuyên gia cảnh báo rằng khi các doanh nghiệp ngày càng phụ thuộc vào AI coding agent, bản thân các AI này đã trở thành một bề mặt tấn công (attack surface) mới mà giới bảo mật cần đặc biệt lưu tâm.

Nguồn tham khảo: The Hacker News