本記事は筆者が運営する AI Quotidia の海外ニュース解説記事です。
AIにコードを書かせ、エラーを調べさせ、修正まで任せる。
要点
- セキュリティ企業Tenet Security(Tenet Threat Labs)が、AIコーディングAgentを乗っ取りうる攻撃クラス「Agentjacking」を2026年6月に公表(Infosecurity Magazine 2026-06-11 / Hackread)
- 核心はプロンプトインジェクション。AIは開発者の指示と外部から取得した資料を同じテキストの流れとして読むため、MCP経由で取得したSentryのエラー報告に仕込まれた偽の修正手順を正規の助言と区別できず、開発者本人の権限で悪性コマンドを実行しうる
- 入口は公開されたSentryのDSN(公開キー)。露出キーがあれば認証もシステム侵入も不要で、1回のHTTP POSTで悪性コマンドを注入できる。成功すればAWSの鍵・GitHubトークン・SSHキーなど開発者のシークレット窃取や任意コード実行につながりうる(出典: Hackread)
- 実験での成功率は約85%(Claude Code / Cursor / Codexなどが対象)。DSN露出組織は少なくとも2,388社・exploit可能の確認は100件超で、いずれも実験・実証の数字であり実害の件数ではない
- 対策の方向はDSNキーの定期入替・認証情報スキャン・AI Agentの権限最小化・危険なコマンドの人による確認・異常挙動の監視。この攻撃が突くのは人でもシステムの穴でもなく、Agentが信頼して読み込むデータで、そこを汚染してAI自身に悪事をさせる構図
完全版はこちら。
一次ソース
Quotidia の視点 (抜粋): 私が目を留めたのは、この弱点が「バグ」ではなく「便利さの構造そのもの」から出てきている点です。
関連: OSS開発者が「AIにコードを消させる」罠を仕込んだ。jqwik事件が示す、AIコーディング時代の新しい攻撃面