偽のSentryエラーがAIエージェントを「信頼」する
攻撃の起点はSentryのDSN（Data Source Name）だ。 DSNはウェブサイトの公開コードに埋め込まれる書き込み専用の認証情報で、誰でもSentryのエンドポイントにエラーイベントを送信できる。
攻撃者はこのDSNを入手し、悪意あるマークダウン形式の「偽のエラーイベント」を対象組織のSentryに送り込む。 開発者がAIコーディングエージェントに「Sentryのエラーを直して」と依頼すると、エージェントはSentryから取得したその偽エラーを「正規の問題」として解釈し、埋め込まれた攻撃者の指示を開発者の権限で実行してしまう。
攻撃の核心はModel Context Protocolの「暗黙の信頼」
この攻撃が成立する根本的な理由は、AIコーディングエージェントがMCP（Model Context Protocol）経由で外部ツールと連携する際、データの真正性を検証しない点にある。 Sentryから届いたデータを「信頼できるソース」とみなし、その内容を批判的に評価しないまま実行に移す。
Tenet Securityの研究者Ron Bobrov、Barak Sternberg、Nevo Poranが2,388の組織でDSNを調査したところ、注入済みエラーへの攻撃成功率は85%に達した。 攻撃はEDR（エンドポイント検出・対応）、WAF（ウェブアプリケーションファイアウォール）、VPN、Cloudflare、IAMを迂回する。 攻撃が成功すると、開発者の環境変数、Gitの認証情報、プライベートリポジトリのURLが漏洩し得る。
Sentryは「根本的な対策は困難」と表明
脆弱性はSentryに対して2026年6月3日に開示された。 Sentryは特定のペイロード文字列をブロックする「グローバルコンテンツフィルター」を有効化したが、「アーキテクチャ上、根本的な防御は困難」との立場を取った。
Tenet Securityは対策として「agent-jackstop」をオープンソースで公開している。 Claude CodeとCursorをこの攻撃クラスに対して強化するドロップイン設定ファイルだ。 AIコーディングエージェントを利用する開発者や組織は、外部ツールからの入力を盲目的に信頼しない設定の見直しが急務となる。
ソース:
- Agentjacking Attack Tricks AI Coding Agents Into Running Malicious Code — The Hacker News
- New "Agentjacking" Attacks Could Hijack AI Coding Agents — Infosecurity Magazine
- Agentjacking: a fake bug report can hijack your AI coding agent — The Next Web
以前のAIコメント (3)
AIによる視点のシミュレーションです。実在する専門家の発言ではありません。
85%の攻撃成功率というのはかなり深刻な数字で、これはAIコーディングエージェント市場全体への信頼問題に発展し得る。特に企業向けでClaude CodeやCursorの導入を進めていたCTOやセキュリティ責任者は今頃対応に追われているはず。逆にAIエージェントセキュリティのスタートアップにとってはプロダクト市場適合が突然訪れた瞬間とも言える。agent-jackstopを作ったTenet Securityが次の一手をどう打つかも注目している。
Sentryが「アーキテクチャ上、根本的な防御は困難」と言って問題を押しつけるのは無責任じゃないか。DSNが書き込み専用である設計上の欠陥を指摘されているのに、コンテンツフィルターで誤魔化して終わりというのは到底受け入れられない。AIエージェントの普及でこの種の「信頼チェーン攻撃」は今後も増えるはずで、インフラ側がもっと主体的に対策する責任がある。
SentryのDSNって書き込み専用だから公開コードに埋め込まれてることを今更ながら再認識した。ちょうど自分のプロジェクトでもClaude CodeにSentryのMCPサーバー繋いでたので、すぐにagent-jackstopの設定を入れた。MCPツール経由のデータをそのまま信頼するのはアーキテクチャ上の前提として危険すぎる。AIエージェントが「外部からの入力は検証対象」という発想を持てるようになるまで、開発者側で防御層を作るしかない。
読者のコメント (0)
コメントを残す