AI Coding Agentを騙す「Agentjacking」攻撃が登場、Sentryエラーを悪用

「AIにコードを書かせて開発を速めてるけど、そのAI自体が騙されたらどうなるんでしゅか？」
「エラー監視ツールの通知を直させただけで乗っ取られるなんて、信じられないんでしゅ……」

チップス

AIアシスタントって賢いから、変な指示は無視してくれるんじゃないんでしゅか？

ボス

それが落とし穴だ、チップス。今回の攻撃は、AIが信じてしまう経路から忍び込む。仕組みを知れば、どこを守ればよいか見えてくるぞ。

本記事では、AIコーディングエージェントを乗っ取る新手の攻撃「Agentjacking」について、その手口とAI活用組織が取るべき守りを整理します。

読み終える頃には、AIエージェントを業務に組み込む際に押さえるべき守りの勘所が手に入ります。

Agentjacking攻撃の概要

まずは何が起き、どれだけ広がりうるのかを整理します。

偽のエラー通知でAIを操る手口

Agentjackingは、セキュリティ企業Tenet Securityが報告した新種の攻撃です。
攻撃者はエラー監視ツールSentryの公開認証情報（DSN）を突き止め、認証なしで偽のエラーイベントを送り込みます。
その中身はSentry公式の修復ガイダンスそっくりに整形され、AIエージェントには見分けがつきません。
開発者が「未解決のエラーを直して」と指示した瞬間、AIが偽の指示を本物と信じて実行してしまう仕組みです。

報告された影響範囲は以下のとおりです。

チップス

監視のための通知が、そのまま攻撃の道具にされちゃうんでしゅね……。

ボス

ふふふ、皮肉なものだな。開発者が信頼する経路だからこそ、AIも疑わずに従ってしまうのだ。

攻撃の仕組みとリスク、取るべき守り

なぜプロンプトでの防御が効かないのかを掘り下げます。

「指示で無視させる」だけでは防げない

この攻撃は、外部データに紛れた指示をAIが実行してしまう間接プロンプトインジェクションの一種です。
厄介なのは、システム側で「信頼できないデータは無視せよ」と命じても、エージェントがツールの応答を無条件に信じて実行してしまう点にあります。
つまり言葉による言い聞かせでは止められず、ツールが返すデータの扱いそのものを設計し直す必要があります。
AI活用が進む組織ほど、エージェントと外部ツールの連携経路が攻撃面になると意識すべきです。

組織が取るべき守りのポイントは次のとおりです。

チップス

AIにお願いする前に、AIが受け取る情報の方を疑わないといけないんでしゅね。

ボス

よく分かったな。AIを使う側が、入り口のデータと実行権限を握っておく。これがAI時代の基本姿勢だ。

まとめ：AIに渡すデータと権限を握る

Agentjackingは、信頼されたツールの通知を装ってAIコーディングエージェントを操り、開発者の権限で任意コードを実行させる攻撃です。
プロンプトでの言い聞かせが効かないため、ツールが返すデータの扱いと実行権限の設計こそが防御の要になります。
AIを業務に組み込むなら、連携ツールの棚卸しと最小権限の徹底を今のうちに進めておくべきです。
こうしたAI時代の新しい攻撃面に立ち向かう現場で力を発揮したい方は、ぜひセキュリティフリーランス案件に目を向けてみてください。

参考: Infosecurity Magazine「New “Agentjacking” Attacks Could Hijack AI Coding Agents」