セキュリティ研究者らは、信頼された監視・セキュリティプラットフォームを悪用してAIエージェントを操り、不正なインフラ変更を実行させたり、攻撃者が制御するコマンドを実行させたり、クラウド認証情報を漏洩させたりする新種の攻撃「GhostJacking」を明らかにしました。
セキュリティコンサルティングサービス
GhostJacking攻撃とは
DEF CON 34で発表されたこの研究は、ログやアラート、課題報告に埋め込まれた悪意あるコンテンツが、AIによるコーディングや運用を担うエージェントに対する間接的なプロンプトインジェクションとして機能する仕組みを解説しています。
この手法は従来型のソフトウェア脆弱性を突くものではなく、CloudflareやDatadog、Sentryといったプラットフォームに接続されたAIアシスタントに、すでに付与されている権限を悪用します。
Tenetによると、攻撃の連鎖は、Webアプリケーションファイアウォールがすでにブロックしたリクエストから始まる場合があります。Cloudflareはブロックしたリクエストをログに記録しますが、そのログには攻撃者が制御するテキストが含まれている可能性があります。
その後、アナリストがこれらのイベントの調査をAIエージェントに依頼すると、エージェントは注入されたテキストを正当な運用ガイダンスと誤って解釈してしまう恐れがあります。
実際に検証されたあるシナリオでは、エージェントがDNS設定の変更に誘導され、被害組織のWebおよびメールトラフィックが攻撃者の管理するインフラへリダイレクトされる可能性が示されました。Tenetの報告によれば、Cloudflare推奨の構成下でClaude Codeを対象にしたこの手法は、10回中9回成功したとのことです。
研究者らは、これが重大な検知上の課題をもたらすと指摘しています。ファイアウォール自体は意図通りに機能しているにもかかわらず、そのログが悪意ある命令の配送手段として使われてしまうからです。
その後AIエージェントは、有効なアクセストークンと承認済みの管理ツールを用いて操作を実行するため、エンドポイント検知やIAM制御、Webアプリケーションファイアウォールがこの活動を悪意あるものと識別することが困難になります。
類似の手法はDatadogに対しても実演されました。Tenetによると、外部に公開されているクライアント側のDatadogキーを悪用すれば、攻撃者が細工した診断イベントを送信できる可能性があるとのことです。
エンジニアがAIエージェントにそのアラートの調査を指示すると、エージェントが攻撃者のコンテンツを処理し、提示されたコマンドを実行してしまう恐れがあります。研究者らの検証事例では、これによって環境変数とクラウド認証情報への不正アクセスが発生しました。
この研究では、SentryのAI機能「Seer」を巡るエージェント間信頼の悪用についても詳しく述べられています。攻撃者が制御するレポートによってSeerの結論が操作され得るため、別のコーディングエージェントが、元となった悪意ある入力を確認しないまま、そのAI生成の推奨事項を信頼してしまう可能性があります。これにより、信頼されたAIシステムの一つが、事実上、攻撃者の指示を正当化する仲介役に変わってしまいます。
Tenetはまた、AnthropicのClaude Desktopにおける、すでに修正済みのサンドボックスエスケープの脆弱性についても公表しました。研究者らによると、この欠陥により、エージェントが収集したデータが意図されたネットワーク制限を回避し、攻撃者が管理するサーバーへ到達し得る状態だったとのことです。Anthropicは、DEF CONでの発表前にこの問題を確認し、修正パッチを適用済みです。
データ管理
この広範なリスクは特定のベンダーや製品に限定されるものではありません。AIエージェントが信頼できない外部データを取り込み、それに基づいて特権的な操作を実行する場面であれば、GhostJacking攻撃はどこでも発生し得ます。
監視システム、チケット管理プラットフォーム、ソースコード管理のワークフロー、クラウドコンソール、ビルドパイプラインなど、これらの境界が適切に強制されていなければ、いずれも脆弱性を抱える可能性があります。
防御策として、Tenetはエージェントへのデフォルトの外向きネットワークアクセスを拒否すること、コマンド実行やインフラ変更の前に人間による承認を必須とすること、読み取り専用の分析機能と書き込み権限を持つツールを分離すること、そしてアクセス可能なトークンはすべて漏洩の可能性があるものとして扱うことを推奨しています。同社はまた、CursorおよびClaude Code向けのオープンソースの堅牢化ツール「Agent-Jackstop」も公開しました。
新たなフィッシングやマルウェアが貴社を侵害する前に阻止しましょう。世界15,000のSOCが活用するライブインテリジェンスを統合
翻訳元: https://gbhackers.com/ghostjacking-attacks/
