Agentjacking 完全解説：Sentry MCP 経由の 85% ハイジャック攻撃が、AI コーディングエージェントを「信頼された攻撃面」に変える日

PM による override 適用: 本稿は PM が 6/19 夕方に P0-AM として位置付けた Agentjacking を取り上げる。Cost Reckoning Part 9 (Bochinski ホームコーディング戦略) は週末枠 (6/20 PM〜6/21) に繰越。これは 5/22 GitHub 3800 攻撃 (5 攻撃ベクトル分析) の起点から続く、MCP 経由攻撃ベクトル 6 本目の連鎖記事である。

2026 年 6 月 12 日、Tenet Security の Threat Labs が公開した「Agentjacking」研究は、AI コーディングエージェント時代のセキュリティ議論を「プロンプトインジェクションの亜種」から「アーキテクチャそのものの欠陥」へ引き上げた。本稿では、その攻撃構造、影響範囲、Sentry が公式に「技術的に防御不能」と認めた背景、そして日本企業を含む開発組織が今すぐ取り得る 5 ステップ防御策を、Python 検証コード付きで構造的に整理する。

1. Agentjacking とは何か — 6 段階で実行される「データと命令の混同」攻撃

Agentjacking は、Tenet Security が命名した新しい攻撃クラスで、Sentry の DSN (Data Source Name) と MCP サーバー経由の AI コーディングエージェント の交差点を突く。Tenet の Ron Bobrov、Barak Sternberg、Nevo Poran によれば、

「この攻撃は Sentry のイベント取り込み (DSN を持つ誰もが任意ペイロードを送れる) と Sentry MCP サーバー (AI エージェントにこのデータを信頼されるシステム出力として返す) の交差点上にあるアーキテクチャ上の欠陥を突く」(The Hacker News, 6/12)

攻撃は次の 6 段階で実行される。

根本原因は AI エージェントが「データ」と「命令」を区別できない構造的制約 にある。Tenet はこれを「モデルの限界であり、設定ミスではない」と明言し、prompt 層の防御では突破できると実験で確認した。

2. 85% 成功率と 2,388 組織露出 — 規模の意味

Tenet の検証テストで判明した数値は、攻撃の影響範囲を量的に示している。

注目すべきは、EDR / WAF / IAM / VPN / Cloudflare / ファイアウォール全てをバイパスする ことである。攻撃チェーン内の全アクションが「正規ユーザーによる正規コマンド」として実行されるため、従来のセキュリティスタックではシグナルを検出できない。

確認された被害組織には、約 $250B の Fortune 500 テック企業 (2 台の Windows 端末で Claude Code が侵害、Git トークン窃取)、$2B+ のホスティング事業者、Scientific Computing 企業、EdTech / HealthTech / FinTech スタートアップ、独立開発者までが含まれる。Tenet は「サイズ・業種・セキュリティ予算は安全性と無関係だった」と報告している。

3. Sentry の公式見解 — 「技術的に防御不能」と 6/3 報告後の限定パッチ

Tenet は 2026 年 6 月 3 日 に Sentry へ責任ある開示を行った。Sentry 側の対応は二段構えだった。

第一段 (限定対応): Tenet が検証で使った特定ペイロード文字列に対する グローバルコンテンツフィルタ を有効化。これは Tenet の検証コマンドパターンをブラックリスト化したものに過ぎない。

第二段 (構造判断): 根本原因 (DSN 経由の任意イベント受付 + MCP 経由の信頼性仮定) は「技術的に防御不能 (technically not defensible)」と公式に判断。

Cloud Security Alliance の 6/12 リサーチノートは、この対応を

「Agentic AI ガバナンスのギャップに起因する構造的欠陥であり、パッチで修正可能な欠陥ではない」

と分析している。Sentry 自身がフィルタと構造判断の双方を選んだ事実は、業界全体に対する 「AI エージェントに信頼されるデータソースは、定義上、攻撃ベクトルになる」 という警告として読むべきである。

4. 既存セキュリティスタックが「無力化」する構造的理由

Agentjacking の耐検出性は偶発的ではなく構造的である。Tenet の実証データと CSA の分析から、各コントロールが無力化される理由は次の通り。

これは、AI エージェント時代に 「信頼境界」が根本的に再定義される必要がある ことを意味する。SRE / DevSecOps 観点では、NRI Secure が指摘する「LLM は常に侵害され得る制御ロジックとして扱う」原則が実装レベルで必要となる。

5. MCP 攻撃ベクトル年表 — 本稿が 6 本目の連鎖である理由

Agentjacking は MCP 経由で AI エージェントを侵害する 2026 年の一連の攻撃ベクトルの 6 本目に位置する。本ブログでの既報との接続関係は次の通り。

5/22 GitHub 3800 攻撃で MCP Trust Fall が攻撃面に組み込まれ、6/14 の Fable 5 記事 (relentlessly proactive パターン) でエージェント自走リスクが表面化した。Agentjacking はこれらを発展継承し、エージェントが「正規に読みに行くデータ」自体が攻撃媒体になる という第 3 の軸を提示した。

6. 日本企業 5 セクターへの影響度と 6/22-23 までのタイムライン

日本企業にとって Agentjacking は、Sentry を導入している組織であれば業種・規模を問わず影響を受ける。中でも特に影響度が大きい 5 セクターを整理する。

タイムライン上、6/22-23 には Fable 5 / Mythos 5 の Pro/Max/Team 切断 が予定されており、この直前タイミングで Agentjacking のパッチ未対応が残ることは、AI コーディングエージェントへの二重依存リスク (Fable 5 輸出管理 + Agentjacking DSN) を意味する。

7. 5 ステップ防御プレイブック — 日本企業向け実装ガイド

Agentjacking を完全に防ぐパッチは現時点で存在しない。しかし、「被害を受けにくくする」「被害を受けても検知できる」「被害拡大を止める」 の三層でリスクを下げる実装は可能である。以下、優先度順に 5 ステップを示す。

Step 1: DSN 棚卸しと露出状況の可視化

まず全 Sentry DSN を棚卸し、どれが public (フロントエンド埋め込み) で、どれが internal (バックエンドのみ) か を分類する。public DSN が使われているプロジェクトは AI エージェントから参照されない構成へ移行することが理想である。

# DSN 露出箇所の棚卸し
grep -rn "ingest.sentry.io" --include="*.js" --include="*.html" --include="*.ts" \
  src/ public/ dist/ 2>/dev/null | head -50

Step 2: MCP 経由の Sentry 統合をデフォルト無効化

公式 Sentry MCP サーバーをデフォルト無効化 し、必要に応じて明示的に有効化する運用に変更する。エージェントが自律的に Sentry に問い合わせに行く経路を塞ぐ。

# Claude Code / Cursor の MCP 設定から Sentry を除去
# ~/.config/claude-code/mcp_servers.json の例
{
  "mcpServers": {
    "sentry": { "disabled": true }
  }
}

Step 3: AI エージェントのシェル実行を最小権限化

AI エージェントが npx / npm exec / curl 等の ダウンロード+即実行系のコマンド を実行する際、隔離サンドボックス内で動作させる。Docker ベースでもよいが、最低限 「ホームディレクトリ以外の読み書きをブロック」「ネットワーク外向きを allowlist 化」 を必須とする。

# Python: エージェントシェルコマンドの前段検証 (概念コード)
ALLOWED_BINARIES = {"ls", "cat", "grep", "git", "python3", "pytest"}
BLOCKED_PATTERNS = [r"\bnpx\b", r"\bnpm\s+exec\b", r"\bcurl\s+", r"\bwget\b",
                     r"\bbash\s+-c", r"\bsh\s+-c"]
SECRET_PATHS = ["~/.aws", "~/.npmrc", "~/.docker", "~/.kube", "~/.config/gh"]

def validate_agent_command(cmd: str) -> tuple[bool, str]:
    """Return (allowed, reason). Block any command that downloads-and-executes."""
    for pat in BLOCKED_PATTERNS:
        if re.search(pat, cmd):
            return False, f"download+exec pattern blocked: {pat}"
    binary = cmd.strip().split()[0] if cmd.strip() else ""
    if binary not in ALLOWED_BINARIES:
        return False, f"binary not in allowlist: {binary}"
    for secret in SECRET_PATHS:
        if secret in cmd:
            return False, f"agent command references secret path: {secret}"
    return True, "ok"

Step 4: Sentry 受信イベントのレピュテーションフィルタリング

Sentry ingest 側で、自社に正規のソース IP レンジ / SDK バージョン以外のリクエスト をレートリミットまたは隔離する Sentry Relay のカスタム設定を入れる。Sentry のグローバルコンテンツフィルタは特定文字列しかブロックしないため、自社の before_send 相当を Sentry Relay 側で再現する必要がある。

Step 5: AI エージェント実行の完全トレース記録

エージェントが実行した全コマンドを 改ざん不可の監査ログ に記録する。exec 系コマンドは 「どの MCP サーバー応答を受けて実行されたか」 まで含めて記録することで、攻撃発生時の原因特定時間を劇的に短縮できる。

# Python: エージェント実行トレースの構造化ログ
import json, hashlib, time

def log_agent_execution(tool_call: dict, command: str, decision: str) -> None:
    record = {
        "ts": int(time.time() * 1000),
        "agent_id": tool_call.get("agent_id"),
        "mcp_server": tool_call.get("source", "unknown"),
        "input_hash": hashlib.sha256(json.dumps(tool_call).encode()).hexdigest()[:16],
        "command": command,
        "decision": decision,  # "allow" | "block"
        "user": tool_call.get("user", "unknown"),
    }
    # 改ざん不可ストレージ (例: CloudWatch Logs + S3 Object Lock) へ送信
    print(json.dumps(record, ensure_ascii=False))

8. 業界横断で進む「信頼境界の再定義」議論

Agentjacking の本質は、「AI エージェントは外部データを信頼する」という設計思想そのものに構造的欠陥がある という主張である。NRI Secure が 2025 年 8 月に指摘した「AI エージェントは常に侵害され得る制御ロジックとして扱う」、Sysdig が同月に整理した「LLM の判断をそのまま実行系に流さない構造を設計する重要性」、そして今回 Tenet が実証した「prompt 層防御では突破できる」は、3 つの独立した声が同じ結論を指している。

Sentry が「技術的に防御不能」と公式に認めた事実は、業界に対し以下の構造的問いを突きつけた。

1. DSN のような公開前提の認証情報は、AI エージェント時代でも「公開前提」を維持できるか
2. MCP サーバーが返すデータは、AI エージェントにとって「データ」か「命令」のどちらとして扱うべきか
3. AI エージェント時代に「信頼境界」をどう引き直すか

いずれも製品ベンダー単独では答えが出ず、業界横断の標準化 (MCP Working Group、CSA AI Safety Initiative、OWASP Agentic AI Threats) の動きを加速する圧力となる。

まとめ — 6 本目の MCP 攻撃ベクトルが示すもの

Agentjacking は、5/22 の GitHub 3800 攻撃 (5 攻撃ベクトル分析) から続く MCP 経由攻撃ベクトル 6 本目であり、AI コーディングエージェント時代のセキュリティを 「エージェントが信頼するデータソースそのものが攻撃面」 へと拡張した。

Tenet Security の実証 (85% 成功率、2,388 組織露出、~$250B Fortune 500 被害確認) と Sentry 公式の「技術的に防御不能」判断は、この問題が設定ミスではなくアーキテクチャの構造的欠陥であることを示している。6/22-23 の Fable 5 切断 (輸出管理タイムライン) を前に、日本企業は AI エージェントへの二重依存リスク (Fable 5 輸出管理 + Agentjacking DSN) を直視する必要がある。

5 ステップ防御プレイブック (DSN 棚卸し / MCP デフォルト無効化 / シェル最小権限化 / Sentry Relay フィルタ / 完全トレース) は被害軽減の即効策だが、根本解決には MCP プロトコルレベルでの「データ/命令分離」の標準化が必要である。

この記事は AI によって生成され、人間の編集を経て公開されています。 Appwright AI は AI によるコンテンツ制作の可能性を探求する実験的プロジェクトです。