Sentry Seer kann in einer bestimmten Auto-Remediation-Konfiguration Daten aus extern eingereichten Fehlerereignissen bis in den Prompt eines Coding-Agenten weiterreichen. CERT/CC veröffentlichte dafür am 16. September 2026 CVE-2026-90999. Laut Vulnerability Note kann der Fehler zu Codeausführung in der Umgebung des Coding-Agenten und zum Zugriff auf verbundene Source-Repositories führen.
Der technische Kern ist keine klassische Schwachstelle im Sprachmodell. Mehrere Systeme behandeln dieselben Daten nacheinander mit unterschiedlichen Vertrauensannahmen. Was am Anfang Telemetrie aus einer öffentlichen Anwendung ist, wird später Teil einer Arbeitsanweisung für einen Agenten mit deutlich mehr Rechten.
Vom öffentlichen Fehlerereignis zum Agenten-Prompt
Sentry sammelt unter anderem Exceptions, Stack Traces, Source Context und Breadcrumbs. Frontend-Projekte verwenden dafür häufig einen öffentlich erreichbaren DSN, über den Anwendungen Telemetrie an Sentry senden.
CERT/CC beschreibt einen Ablauf, bei dem ein externer Angreifer manipulierte Ereignisse einreichen kann, ohne Zugriff auf das Sentry-Konto, das Repository oder die Infrastruktur des Betreibers zu besitzen. Seer analysiert das Ereignis und erstellt daraus eine Root-Cause-Analyse. Teile der vom Absender kontrollierten Ereignisdaten fließen dabei in diese Analyse ein.
Ist Seer so konfiguriert, dass geeignete Issues automatisch an einen Coding-Agenten zur Behebung übergeben werden, wird die erzeugte Analyse in dessen initialen Prompt übernommen. Der Agent behandelt den Inhalt anschließend als Beschreibung des betroffenen Codes.
CERT/CC dokumentiert, dass der Agent während der Untersuchung ein vom Angreifer kontrolliertes Paket herunterlud und ausführte. Die Ausführung erfolgte in der Coding-Agent-Umgebung, bevor ein Mensch einen Pull Request prüfen konnte.
Damit überspringt der Datenfluss mehrere Vertrauensgrenzen: öffentlich einlieferbare Telemetrie wird analysiert, in natürlichsprachlichen Kontext umgewandelt und schließlich einem System übergeben, das Software ausführen und auf ein Repository zugreifen kann.
Der Agent ist nicht der einzige fehlerhafte Teil des Systems
Der Fall lässt sich leicht als Prompt-Injection-Problem des Coding-Agenten beschreiben. Das greift zu kurz.
Der Agent erhält die manipulierten Daten nicht direkt von einem unbekannten Nutzer. Vor ihm liegt eine Verarbeitungskette. Sentry nimmt das Ereignis an, Seer erzeugt daraus eine Analyse und erst dieses intern erzeugte Ergebnis erreicht den Agenten. Aus Sicht des Agenten sieht der Inhalt dadurch vertrauenswürdiger aus, als seine ursprüngliche Herkunft rechtfertigt.
Für Agentenarchitekturen ist diese Herkunft relevant. Eine interne Komponente macht aus externem Input nicht automatisch vertrauenswürdige Daten. Auch eine Zusammenfassung oder Root-Cause-Analyse kann Anweisungen enthalten, die letztlich auf unkontrollierte Eingaben zurückgehen.
Der zweite Teil des Problems sind die Rechte am Ende der Kette. Ein Coding-Agent, der Pakete ausführen und mit verbundenen Repositories arbeiten darf, hat eine andere Sicherheitswirkung als ein Modell, das lediglich Text erzeugt. Eine fehlerhafte Interpretation wird dadurch zu einer ausführbaren Aktion.
Human Review kam erst nach der kritischen Aktion
Auto-Remediation soll menschliche Arbeit reduzieren: Ein Problem wird erkannt, analysiert, an einen Coding-Agenten übergeben und anschließend als Änderung zur Prüfung vorgelegt.
CVE-2026-90999 zeigt eine konkrete Schwäche dieses Modells. Die menschliche Prüfung des Pull Requests liegt hinter einem Teil der Agentenausführung. Wenn der Agent bereits während seiner Analyse fremden Code ausführen kann, verhindert ein späteres Review diese Aktion nicht mehr.
Das ist eine andere Sicherheitsgrenze als die Frage, ob ein Agent selbstständig mergen oder deployen darf. Schon die vorbereitende Agenten-Session kann privilegiert genug sein, um Schaden anzurichten.
Für CVE-2026-90999 war bei Veröffentlichung noch kein Hersteller-Patch dokumentiert
CERT/CC führte zum Zeitpunkt der Veröffentlichung keine vom Hersteller bereitgestellte Patch-Information auf. Die Vulnerability Note nennt als mögliche vorläufige Maßnahmen unter anderem das Abschalten automatischer Remediation beziehungsweise des automatischen Seer-Handoffs und stärkere Einschränkungen für die Ausführungsrechte des Coding-Agenten.
Das CVE war am 16. September veröffentlicht und zunächst noch ohne CVSS-Wertung. CERT/CC gab außerdem an, von Functional Software, Inc., dem Unternehmen hinter Sentry, bis zu diesem Stand kein Vendor Statement erhalten zu haben. Das ist der Stand der veröffentlichten Vulnerability Note und keine Aussage darüber, ob Sentry inzwischen intern Änderungen vorgenommen hat.
Für Entwicklerteams ist vor allem die Architekturfrage brauchbar: Wo wird externe oder indirekt externe Information erstmals als vertrauenswürdig behandelt, und welche Aktionen sind ab diesem Punkt möglich? Bei agentischen Pipelines reicht es nicht, nur den direkten User-Prompt zu markieren. Herkunft und Vertrauensniveau müssen über Analyse-, RAG-, Telemetrie- und Agentenschritte erhalten bleiben.
Quellen: CERT/CC, Vulnerability Note VU#212479, 16.09.2026: https://kb.cert.org/vuls/id/212479 CVE-2026-90999 im CVE-Datensatz, gespiegelt durch CIRCL Vulnerability-Lookup: https://vulnerability.circl.lu/vuln/CVE-2026-90999