AIコーディングエージェントが"乗っ取られる" — Agentjacking攻撃の全貌

2026年6月に発覚した新しい攻撃手法だよ。Claude CodeやCursorみたいなAIコーディングエージェントが、偽のエラーレポートを本物の指示だと信じて、悪意あるコードを実行してしまうんだ。

SentryっていうエラートラッキングツールにはDSN（データソース名）という公開キーがあるんだけど、攻撃者がそのキーを見つけて、悪意ある指示を埋め込んだ偽のエラーレポートを送り込むんだよ。AIエージェントがそのレポートをMCPサーバー経由で読むと、「本物のデバッグ指示」だと思って従ってしまうんだ。

MCPはAIエージェントが外部ツールと連携するための仕組みだよ。「SentryのMCPサーバー」を設定しておくと、AIが自動でエラーレポートを取得して分析してくれるんだけど、攻撃者はそのパイプラインを悪用するんだ。AIは「Sentryからのデータ＝信頼できる情報」と判断してしまうから、そこが盲点になっているよ。

セキュリティ企業Tenet Securityの調査結果がかなり衝撃的だよ。

指標	数値
DSNが露出していた組織数	2,388社
攻撃成功率	85%
テストコードを実行した企業	100社以上（Fortune 100含む）
Sentryへの報告日	2026年6月3日

Fortune 100企業のAIエージェントも実際にテストコードを実行してしまったというのは、規模の大きさを示しているね。

AIエージェントは「与えられたコンテキストを信頼して行動する」ように設計されているからだよ。人間なら「このエラーレポート、なんか変だな」と気づけるけど、エージェントは取得したデータをそのまま処理してしまう。攻撃者はその性質を巧みに突いていて、「このバグを修正するには以下のコマンドを実行してください」という形式で指示を埋め込んでいるんだ。

Sentryは報告を受けてコンテンツフィルターを追加したよ。でも根本的な問題は「AIエージェントが外部ソースを無条件に信頼してしまう設計」にあるから、フィルターだけでは完全な解決にはならない。開発者としてできる対策は3つ：①SentryのDSNをパブリックリポジトリに公開しない、②MCPサーバーへのアクセス権限を最小限にする、③AIが外部コードを実行する前に人間がレビューするフローを入れる、だよ。

まさにそうだよ。エージェントの自律性が高いほど、悪用されたときのダメージも大きくなる。「最小権限の原則」——エージェントに必要最低限の権限しか与えない——がAI時代のセキュリティの基本になってきているんだ。人間がシステムを信頼するように、AIも「どこまで外部を信頼するか」の設計が今後の大きな課題になっていくよ。