6月18日、HackReadが「Agentjacking: Researchers Show How One Fake Bug Report Can Hijack AI Coding Agents」と題した記事を公開した。この記事では、偽のバグレポートを使ってAIコーディングエージェントを乗っ取る「Agentjacking」と呼ばれる攻撃手法について詳しく紹介されている。
パスワード不要、公開情報だけで成立する攻撃
セキュリティ研究機関のTenet Threat Labsは、パスワード窃取も社内ネットワークへの侵入も不要な攻撃手法「Agentjacking」を実証した。
攻撃の起点は、アプリケーション監視プラットフォームとして広く使われているSentryだ。Sentryにエラー情報を送信するための識別子「DSN（Data Source Name）」は、アプリケーションの公開ソースコードやフロントエンドのJavaScriptに意図的に埋め込まれることが多い。攻撃者はこのDSNを使い、Sentryに偽のエラーレポートを投げ込む。
偽レポートの内容にはMarkdownインジェクションが仕込まれており、表向きは普通のバグ報告に見えるが、内部には攻撃者が制御するテキストが埋め込まれている。開発者がAIコーディングエージェント（Claude Code、Cursor、OpenAI Codexなど）にこのエラーを調査させると、エージェントはSentryのMCPサーバー経由でレポートを読み込み、埋め込まれた指示をそのまま実行してしまう。
※ MCP（Model Context Protocol）とは、AIエージェントが外部ツールやサービスと標準化された方法でデータをやり取りするためのプロトコルで、Anthropicが策定した。MCPサーバーを介することで、エージェントはSentryのようなサービスからコンテキスト情報を取得し、タスクを自律的に実行できる。詳細は公式ドキュメントを参照。
Tenetのデモでは、偽レポート内の「Resolution」セクションに以下のようなコマンドが仕込まれていた。
npx @tenet-controlled-validation-package --diagnose
このコマンドは、Tenetが検証用に用意したnpmパッケージをダウンロード・実行するものだ。悪意ある攻撃者がこれを悪用すれば、開発者のローカルアカウント権限でリモートコード実行（RCE）が可能になる。AWSキー、GitHubトークン、SSHキーといった機密情報の窃取も現実的な脅威となる。
「認可された行動の連鎖」が既存の防御を無効化する
この攻撃の厄介な点は、既存のセキュリティツールがほぼ検知できないことだ。エンドポイント検出・応答（EDR）システムやファイアウォールから見ると、AIエージェントが実行する一連の操作はすべて「正規のツールによる、権限を持つユーザーの行動」として見える。
Tenetはこれを「Authorized Intent Chain（認可されたインテントの連鎖）」と名付けた。
「チェーン内のすべての操作は認可されている。現行のセキュリティモデルは不正な動作を検知するために作られているが、この攻撃にはそれが一切含まれない」
— Tenet Threat Labs
100社超のAIエージェントが実際に検証コードを実行
Tenetは2026年6月17日までの検証期間中、2,388組織の公開Sentry DSNを特定した。そして実際に複数の環境でAgentjackingを試みたところ、100社以上のグローバル企業のAIエージェントが検証用コードを実行した。その中には、時価総額約2,500億ドルのFortune 100テクノロジー企業も含まれていたという。
なお、Tenetはこの検証を責任ある開示（Responsible Disclosure）の原則に基づいて実施しており、実際に被害を与えるコードではなく無害な検証用パッケージのみを用いている。検証対象となった企業への事前通知や調整も含む形で研究の正当性を確保した上で、結果を公表している。
攻撃はWindows、macOS、クラウドパイプライン上で動作するClaude Code、Cursor、OpenAI Codexのいずれでも成功している。
Sentryの対応と根本的な課題
Tenetは2026年6月3日にSentryへ報告した。Sentryは検証に使われた特定のテキストをブロックするコンテンツフィルターを追加したが、Tenetはこれが根本的な解決にならないと指摘する。「AIエージェントが信頼されていないツール出力を指示として扱う」という構造的な問題は、プラットフォーム側だけでは対処が難しいからだ。
開発者が今すぐできる対策
Tenetは開発者向けの緩和策として、オープンソースのツール「Agent-JackStop」を公開している。CursorとClaude Codeを対象としたツールで、信頼されていないデータソース（Sentryのエラーレポートなど外部から取り込まれるコンテキスト）からの命令インジェクションを検出・遮断することでエージェントをハードニングする。具体的には、ルールベースのプロンプトガードとツール呼び出し監視を組み合わせ、エージェントが不審な実行コマンドをコンテキストから受け取った際にその指示をブロックする仕組みだ。
AIコーディングエージェントの普及が急速に進む中、エージェントが読み込む「コンテキスト」の出所を意識することが、開発現場での新たなセキュリティ習慣になりそうだ。
詳細はAgentjacking: Researchers Show How One Fake Bug Report Can Hijack AI Coding Agentsを参照していただきたい。
