新たに公表された「Ghostjacking(ゴーストジャッキング)」は、ブロックされたWebリクエストや監視アラート、エラーレポートといった信頼された運用データを、企業内で攻撃者が行動を起こすための経路に変えてしまうAIエージェント攻撃の一種です。
DEF CON 34でTenet Securityが発表したこの研究は、リスクの根本がアーキテクチャそのものにあると指摘しています。エージェントが攻撃者に制御されたコンテンツを読み取り、その同じ環境に対する正規のアクセス権限を行使できてしまう構造が問題だというのです。
Cloudflareを例にとったシナリオでは、攻撃者が悪意あるリクエストを送信し、Webアプリケーションファイアウォールがそれを正しくブロックします。しかし、ブロックされたペイロードはそのままセキュリティログに記録されてしまいます。
アナリストがAIアシスタントにこれらのイベントの調査を依頼すると、エージェントはログに埋め込まれた攻撃者のテキストを、信頼できない証拠としてではなく、実行すべき指示として解釈してしまう可能性があります。
研究者によれば、アシスタントがCloudflareの設定を変更できる権限を持っている場合、DNSレコードを書き換えて被害者ドメインを攻撃者制御下のインフラへ誘導したうえで、調査を「解決済み」と虚偽の報告をしてしまう恐れがあるといいます。
Tenetの報告によれば、Cloudflareが推奨する構成に対してClaude Codeでテストしたところ、10回中9回の割合で攻撃が成功したとのことです。この結果がもたらすのは、従来型のファイアウォール回避ではありません。
制御機構自体はリクエストを正しくブロックしています。危険が生じるのはその先、すなわち高い権限を持つエージェントがそこから生成されたテレメトリを読み込んだ時点です。DNSの制御権を握られると、Webやメールのトラフィックをリダイレクトされ、通常の運用ワークフローがアカウント乗っ取りへの経路に変わってしまいます。
防御側から見ると、これはマルウェアやエクスプロイトの通信、明確なポリシー違反ではなく、承認済みのIDによる正当なAPI呼び出しにしか映りません。Tenetは、DatadogおよびSentryを絡めた関連する攻撃チェーンについても実証しています。
Datadogの事例では、公開状態にあったクライアント側のキーを悪用し、偽の「緊急診断」アラートが注入されました。エラーのトリアージを依頼されたエージェントがコマンドを実行するよう誘導され、環境変数やクラウドの認証情報が露出する結果につながる可能性があります。
Sentryの事例では、同社のAI「Seer」が悪意を持って偽装された修復案を受け入れ、その結論を別のコーディングエージェントへ引き渡してしまう可能性があり、エージェント間の信頼が連鎖的に悪用される「エージェント間トラストホップ」が生じます。
報告されたキルチェーンは、最初のプロンプトインジェクションにとどまりません。開発者のワークステーションから中核となるクラウドやドメイン管理への権限昇格、認証情報の窃取、さらにエージェントの設定・メモリ・ツール定義の改変による永続化までを含みます。
Tenetはまた、Claude Desktopのサンドボックスエスケープ問題も公表しています。この問題は発表前にAnthropicが確認・修正済みで、技術的な悪用の詳細は公開が控えられました。
今回の調査結果は、エージェント型システムにおける「混乱した代理人(confused deputy)」問題が拡大していることを浮き彫りにしています。エージェントは、可観測性ツールやチケット管理、ソースコード、DNS、クラウド管理ツールなどへの接続をますます広げています。
こうしたエージェントには重大な変更を実行できる権限が与えられている一方で、言語モデルはログに含まれるデータと、そのデータ内に隠された指示とを本質的に区別できません。
従来型のEDRやWAF、IAM製品は、エージェントのIDにとって正当な操作として扱われるアクションにフラグを立てることが難しいのが実情です。組織は、外部から影響を受け得るあらゆるログ、アラート、issue、レポートを信頼できない入力として扱うべきです。
具体的には、エージェントのアウトバウンドネットワークアクセスをデフォルトで拒否し、コマンド実行や影響の大きい変更には人間による承認を必須とし、読み取り専用の調査作業と書き込み可能な操作を分離したうえで、有効期限が短く権限範囲を絞った認証情報を発行すべきです。
さらに、チームはエージェントのツールやシークレット、メモリに保存された設定を監査し、永続化につながる経路がないか確認する必要があります。GhostJacking(ゴーストジャッキング)が示す教訓はシンプルです。AIエージェントには、信頼できないコンテキストを直接権限のあるアクションへ変換させてはならない、ということです。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの可視性を高めてSOCを強化し、MTTRを削減しましょう
翻訳元: https://cyberpress.org/new-ghostjacking-attacks-hijack-ai-agents/
