偽のエラーレポートでAIが動く — Agentjackingの仕組みと検証結果

ひよこ

Agentjackingって、何が乗っ取られるの？

ペンギン先生

AIエージェントの行動を攻撃者の目的へ向けてしまう攻撃を指す言葉だよ。この記事ではTenet Securityが2026年6月に報告した、Sentryのエラーレポートを入口にする事例を扱うんだ。

ひよこ

エラーレポートがどうして攻撃になるの？

ペンギン先生

報告では、攻撃者が書いた指示をエラー情報へ混ぜ、それを調査するAIにコードの実行を促しているよ。エラーの内容を調べることと、そこに書かれた指示へ従うことの境界が崩れるんだ。

ひよこ

MCPを使うことが原因なの？

ペンギン先生

MCPはツールと連携するための仕組みだよ。この事例ではSentryから情報を受け取る経路になったけれど、外部データに紛れた命令という問題はMCP以外でも起こり得るんだ。接続先の認証と、返された文章の信頼性は分けて考えよう。

ひよこ

2,388組織が被害にあったの？

ペンギン先生

Tenetが示したのは、注入可能なDSNを持つと調査した組織数だよ。すべてで乗っ取りや情報流出が確認されたという意味ではないんだ。同社は検証で100件超のエージェントによる実行を報告しているけれど、実際の犯罪被害の集計とは区別する必要があるよ。

ひよこ

成功率85%という数字は？

ペンギン先生

これもTenetによる検証の結果だよ。すべての利用者や現在の全製品へそのまま当てはめる割合ではないんだ。使ったモデル、設定、権限、試行の条件で結果は変わるから、数字だけで危険度を決めないようにしよう。

ひよこ

DSNは秘密のパスワードなの？

ペンギン先生

このSentryのDSNはイベントの送信先を指定するもので、フロントエンドにも含まれる設計だよ。読み取りや管理の認証トークンと同じではないんだ。DSNを隠すだけで解決すると考えず、届いたデータを信頼しすぎないことが大切だね。

ひよこ

開発者は何を確認すればいい？

ペンギン先生

エラーログやIssueの文章を根拠に、未確認のコマンドを自動実行しない設定を見直そう。AIが読める秘密情報、変更できるファイル、通信先を必要な範囲へ絞り、重大な実行には内容を確かめる手順を入れるといいよ。

ひよこ

フィルターやサンドボックスがあれば十分？

ペンギン先生

それぞれ役に立つけれど、何を制限しているかが重要だよ。隔離環境でも秘密情報や広い通信権限を渡せば影響が残るんだ。入力の扱い、実行権限、通信制限、記録を組み合わせて、想定どおり止まるか確認しよう。

報告を読むときの注意

Tenetの研究報告と、防御設計上の考察を分けて説明しています。Sentryのフィルター対応についても報告者側の記述であり、本記事では現在の全製品の修正状況や安全性を保証していません。攻撃コードの実行や第三者環境への検証は行っていません。

一般的な仕組みはプロンプトインジェクションの解説、権限設計はAIエージェントとゼロトラストも参照してください。

参考資料

確認日：2026年9月20日。

• Tenet SecurityのAgentjacking研究報告 — Sentry経由の攻撃経路、DSN、調査数と検証結果。報告者の主張として参照。
• Googleによる公開Web上の調査 — 外部コンテンツを介した間接プロンプトインジェクション。
• NIST SP 800-207 — 暗黙の信頼を避け、資源へのアクセスを管理する考え方。