AI標的の攻撃Agentjacking公開

セキュリティ企業であるTenet Securityの研究チームは、AIコーディングアシスタントを標的にした新しい攻撃手法「Agentjacking」を発表しました。この手法は、開発者が日常的に使用しているSentryのエラー監視サーバーと、それをAIエージェントと連携させるModel Context Protocol（MCP）の信頼関係を悪用します。攻撃者は偽のエラーレポートを注入することで、AIエージェントに悪意あるコードを実行させることができます。

1. 攻撃のメカニズムとMCPの設計上の課題

「Agentjacking」は、SentryのDSN（Data Source Name）が通常ウェブサイトや公開コードに埋め込まれている点を利用します。攻撃者はこのDSNを使って偽のエラーイベントをSentryサーバーに送信します。開発者がAIエージェントに「Sentryの未解決エラーを修正して」などと指示すると、エージェントはSentry MCP経由でこの偽のエラーを受け取ります。AIエージェントは受信したエラー情報内の指示を「信頼できるシステム出力」と判断し、開発者のローカル環境で攻撃者が意図したコードを実行してしまいます。

2. 被害規模と対策の現状

この攻撃が成功した場合、環境変数、Git認証情報、非公開リポジトリのURLなどの機密情報が瞬時に窃取される危険性があります。Tenet Securityの調査では、2,388以上の組織で有効なDSNが露出していることが確認され、主要なAIコーディングアシスタントに対して85%の確率で攻撃が成功しました。Sentry側は「技術的に防御不可能」として根本的な修正は見送っており、現在は「特定のペイロード文字列」をブロックするコンテンツフィルターを一時的に適用するに留まっています。

AIコーディングエージェントの普及に伴い、エージェント自身が新たな攻撃サーフェス（攻撃対象領域）となっていることが実証されました。今回の「Agentjacking」は、従来のセキュリティ防御を一切検知されずに迂回する点が極めて深刻です。開発者がAIエージェントに与えるローカルでの実行権限の範囲や、MCPなどを通じて連携する外部サービスの入力値に対する信頼設計を見直す必要性に迫られています。