Agentjacking: Satu Laporan Bug Palsu yang Bisa Membajak AI Coding Agent Kamu

Anthropic, Cursor, dan OpenAI memperkenalkan diri sebagai asisten coding yang bisa diandalkan — Claude Code, Cursor Agent, dan Codex punya akses luas ke repository, bisa install library, bahkan eksekusi command di mesin developer. Kepercayaan tersebut sekarang jadi liability.

Peneliti di Tenet Security menemukan celah keamanan yang mereka sebut Agentjacking — metode serangan yang cukup satu laporan bug palsu dari Sentry, tanpa perlu malware, tanpa perlu breach, agent bisa dijalankan seperti boneka oleh penyerang.

Bagaimana Serangan Agentjacking Bekerja

Sentry adalah tools error monitoring yang sangat populer di kalangan developer. Hampir setiap tim software modern punya akun Sentry untuk melacak crash di aplikasi mereka. Yang tidak banyak disadari: Sentry punya API terbuka, dan banyak akun Sentry menggunakan DSN (Data Source Name) publik yang bisa ditulis oleh siapa saja.

Mari kita bedah langkah-langkahnya:

1. Penyerang membuat akun Sentry gratis dan mendapatkan write-only DSN — token yang mengizinkan siapa saja mengirim laporan error, tapi tidak bisa membaca data.

2. Penyerang mengirim laporan bug palsu yang dibuat khusus — isinya bukan crash biasa, melainkan instruksi berbahaya yang disisipkan dalam stack trace palsu. Karena Sentry menerima data dari DSN yang terlihat legitimate (milik korban), AI agent tidak curiga.

3. Claude Code, Cursor, atau Codex membaca laporan error dari Sentry melalui integrasi MCP (Model Context Protocol) yang otomatis. Agent melihat “oh, ada error di production” dan langsung percaya untuk menganalisis atau memperbaiki.

4. Agent mengeksekusi kode berbahaya — karena di-training untuk mengikuti instruksi dari error report, agent menjalankan perintah yang sebenarnya adalah kode shell berbahaya, menyalin secrets, atau membuka backdoor.

Periset Tenet Security mendemonstrasikan serangan ini dan berhasil membajak Claude Code, Cursor, dan Codex dengan tingkat keberhasilan 85%. Mereka bahkan berhasil menjalankan exploit terhadap salah satu perusahaan bernilai $250 miliar.

2.388 Organisasi Sudah Tertular

Agentjacking bukan sekadar proof-of-concept. Tenet Security melacak kampanye aktif yang disclose pada 12 Juni 2026 dan berlanjut hingga 21 Juni. Dalam periode tersebut, 2.388 organisasi confirmed terdampak — sebagian besar tanpa sadar.

Mengapa bisa seradius ini?

Karena cara kerja Sentry sangat berbeda dari sistem keamanan tradisional. Ketika kamu install Sentry SDK, biasanya ada kode yang secara otomatis membaca error dari akun Sentry terkait. AI coding agent yang terhubung ke Sentry lewat MCP akan langsung mengambil dan memproses setiap error yang masuk — termasuk yang dikirim oleh penyerang.

Tidak ada malware yang harus di-download, tidak ada exploit yang harus di-patch, tidak ada firewall yang harus di-bypass. Cukup satu HTTP POST ke endpoint Sentry dengan payload yang dibuat khusus.

Daftar Agent yang Rentan

Berdasarkan disclosure Tenet Security, berikut agent yang confirmed bisa dibajak:

• Claude Code (Anthropic) — default coding agent yang bisa eksekusi shell command
• Cursor — AI IDE dengan agent mode yang punya akses ke filesystem
• OpenAI Codex — coding agent yang dipakai di berbagai platform

Faktor bersama mereka: semua menggunakan Sentry MCP integration dan semuanya dilatih untuk percaya error report sebagai sumber terpercaya.

Implikasi untuk Enterprise

Kalau di tim pribadi mungkin dampaknya cuma satu developer, di enterprise ini masalah besar. AI coding agent di perusahaan biasanya punya akses ke:

• Credential cloud (AWS, GCP, Azure)
• Database production
• Repository dengan intellectual property
• CI/CD pipeline yang bisa deploy kode

Satu agent yang dibajak artinya penyerang bisa dapat semuanya — tanpa perlu phishing ke karyawan manapun.

Gartner memperkirakan bahwa sampai akhir 2026, 40% aplikasi enterprise akan terintegrasi dengan AI agent spesifik tugas. Kalau celah seperti Agentjacking tidak ditangani, berarti ratusan miliar dollar aset digital akan bergantung pada keamanan yang rapuh.

Cara Melindungi Tim Kamu

Tenet Security mengidentifikasi beberapa langkah mitigasi:

Segera rotasi Sentry DSN yang pernah dipublikasikan di repository publik, CI/CD, atau logs. Kalau DSN kamu pernah tercatat di GitHub public repo, anggap sudah compromise.

Verifikasi independent sebelum eksekusi — kalau AI agent menawarkan untuk memperbaiki error dari Sentry, minta agent untuk menunjukkan konten error terlebih dahulu sebelum eksekusi.

Batasi permission MCP — kalau tidak perlu Sentry integration untuk workflow coding agent, matikan saja. Setiap integrasi yang tidak dipakai adalah potencial vector masuk.

Audit token dan secret — periksa apakah agent punya akses ke resource yang sebenarnya tidak diperlukan untuk tugasnya. Prinsip least privilege bukan sekadar best practice, tapi kebutuhan keamanan di era AI agent.

Pisahkan environment — AI agent development sebaiknya tidak punya akses langsung ke production environment. Gunakan staging terpisah dan require human approval untuk deployment ke production.

Kesimpulan

Agentjacking menunjukkan bahwa security model AI agent yang ada sekarang belum cukup matang untuk era agentic AI. Agent dilatih untuk obey instructions — termasuk dari error reports — dan ini jadi celah yang bisa dieksploitasi.

Bagi tim yang sudah integrate AI coding agent ke workflow, sekarang saat yang tepat untuk audit security posture. Cek Sentry DSN, review permission yang diberikan ke agent, dan pastikan ada guardrails sebelum agent bisa eksekusi kode secara langsung di mesin production.

Serangan ini confirmed masih aktif. Jika DSN Sentry kamu pernah terekspos di repo public, anggap sudah compromised dan rotasi sekarang juga.

---

Sumber

1. Tenet Security — “One Fake Bug Report Hijacked a $250B Company’s AI Agent” (Juni 2026)
2. The Hacker News — “Agentjacking Attack Tricks AI Coding Agents Into Running Malicious Code” (12 Juni 2026)
3. The New Stack — “A public Sentry key is all it takes to hijack Claude Code, Cursor, and Codex” (Juni 2026)
4. Infosecurity Magazine — “New Agentjacking Attacks Could Hijack AI Coding Agents” (Juni 2026)
5. TechJackerSolutions — “Agentic AI News: Agentjacking Exploits Sentry Logs to Hijack AI Agents” (22 Juni 2026)
6. Hindu Business Line — “Agentic AI may put $234 bn of SaaS spending at risk by 2030: Gartner” (2 Juli 2026)
7. Prwire — “Gartner Says $234 Billion in Enterprise Application Software Spend Is at Risk from Agentic AI” (2 Juli 2026)
8. Signisys — “Agentic AI Is the Fastest-Growing Category” (2026)