Tenet Securityの新たな調査によると、フォーチュン500企業の半数が、自社のAIエージェントによってファイアウォール防御が回避されてしまう攻撃に対して脆弱な状態にあることが判明しました。
「ゴーストジャッキング(Ghostjacking)」と名付けられたこの手法は、組織自身が保有するAIエージェントを利用して企業のメールおよびWebトラフィックを迂回させ、ファイアウォールを回り込む隠れた経路を開くというものです。
Tenet Securityの研究者は、たった1件の偽のバグ報告によってAIコーディングアシスタントが乗っ取られ、開発者のマシン上で攻撃者のコードが実行されてしまう様子を実証しました。
この攻撃は、エージェントがすでに付与されているアクセス権を利用するため防御側に検知されにくく、ファイアウォール自体がダウンするわけではないものの、実質的に意味をなさなくなってしまいます。
攻撃者はこの欠陥を悪用し、エージェントの設定・メモリ・ツール内にバックドアを仕込むこともできます。これにより、データや認証情報の窃取などを目的として、被害組織への持続的なアクセスを確保できてしまいます。
研究者らは、あるAIエージェントに攻撃を構築させ、それを別のAIが正当なものとして受け入れてしまうケースも実証しており、これは「自己悪用(self-exploit)」手法と表現されています。
この攻撃チェーンは、Cloudflare、Datadog、Sentryなど、開発者が一般的に使用しているソフトウェアプラットフォーム全般で成立します。
この調査結果は、8月9日にラスベガスで開催されたDEFCON 2026のメインステージで発表されました。Tenetのチームは、Cloudflareが推奨する構成において、ゴーストジャッキング手法がClaude Code AIエージェントに対し10回中9回の割合で成功したことを実証しました。
この脆弱な状態にあるCloudflare構成を採用していることが判明している組織には、時価総額1兆ドル規模のグローバルテクノロジー企業、大手決済プロバイダー、そして有力なAI研究機関が含まれています。
同調査によると、Cloudflareはフォーチュン500企業の42%で稼働しており、インターネット全トラフィックの5分の1を担っています。また、Datadogはこれらの企業の48%で稼働し、Sentryは400万人の開発者に利用されています。
今回の調査結果は、組織がコードやインフラへのフルアクセスをAIエージェントに委ねるケースが増えている中で高まるリスクを浮き彫りにしています。エージェントは、実際の指示なのか、読み込んだデータに仕込まれた罠なのかを区別できないのです。
たった1件の偽の報告がAIエージェントを欺く仕組み
Tenetによると、ゴーストジャッキングは「エージェントジャッキング(Agentjacking)」攻撃クラスの次なる進化形であり、AIコーディングエージェントを欺いて開発者のマシン上で任意のコードを実行させる手口です。
ゴーストジャッキングでは、企業自身のセキュリティ制御そのものが、ドメイン完全乗っ取りのための配送システムとして機能してしまいます。
Cloudflareのファイアウォールでは、悪意ある行為者による不正なリクエストをブロックした際、その内容が一言一句そのままログに記録されます。つまり、攻撃者が仕込んだログは、アナリストからブロックされたイベントの確認を求められたAIによって、あたかも本物の調査結果であるかのように読み取られてしまうのです。
そのAIは同じ流れで企業のDNSを書き換え、ドメインを攻撃者側へ向けた上で、問題は解決済みだと報告してしまいます。これにより攻撃者は、Webサイトのトラフィックやメールを気づかれることなく静かに迂回させることが可能になります。
「リクエストをブロックしているのはCloudflareの管理型セキュリティルールであり、そのブロック自体が攻撃を運び込む媒体になっているのです」とTenetは述べています。
Datadogプラットフォームも同様にゴーストジャッキングにさらされていました。本来Webサイトのフロントエンド専用であるはずのキーが、日常的に公開状態のまま放置されているためです。Tenetの研究者はこうしたキーを2,700件以上発見しました。
このキーを使えば、偽の「緊急診断アラート」を仕込むことが可能で、エンジニアからエラーの確認を依頼されたAIエージェントがこれを読み取ってしまいます。
Sentryに関しては、研究者らは同プラットフォーム自身のAIである「Seer」を利用し、次に処理を行うエージェントに対して自分たちを「お墨付き」として保証させることにさえ成功しました。Seerが偽の報告書と攻撃者による偽の修正を自らの結論として読み込んでしまい、それをコーディングエージェントが信頼することで、悪意あるコードが実行されてしまうためです。
「Sentry、Cloudflare、Datadogは、それぞれ別個の欠陥ではありません。すべて同じ構造を持っています。AIが信頼する外部データを読み取り、そのAI自身がそのデータに基づいて行動できてしまう。この2つの要素が重なる場所には、必ず抜け穴が生まれます。同様のパターンは、この3社にとどまらず、ビルドシステムと組み合わさったSplunkや、Kubernetesと組み合わさったDatadogといった構成でも見られます」と研究者らは指摘しています。
今回の調査結果は、6月にTenetからSentry、Datadog、Cloudflareの各社へ報告されています。
Tenetは、ゴーストジャッキングへの露出を減らすため、企業に対して次の対策を講じるよう推奨しています。
- デフォルトでアウトバウンドのネットワークアクセスを拒否する。これだけでも攻撃者によるダウンロードとデータ漏洩を防止できる
- エージェントが実行しようとするコマンドには、人間による承認を必須とする
- エージェントが読み取ったデータを、そのまま実行する指示として扱わせない
- 到達可能なトークンはすべてリスクにさらされていると想定し、エージェントが接続するすべてのツールを見直す
翻訳元: https://www.infosecurity-magazine.com/news/ghostjacking-ai-gents-access/
