AIエージェントがDNSを乗っ取る「GhostJacking」、対策は承認ゲートの設置

攻撃の連鎖

GhostJackingは、ブロック済みの攻撃ログをAIエージェントが命令として読み込み、企業のDNSを書き換える攻撃です。Tenet Securityが2026年8月9日にDEF CON 34のメインステージで実演しました。そもそもの起点は、攻撃者が送り込んだ悪意あるリクエストをCloudflareのマネージドルールセットがブロックするという正常な処理です。このとき、User-Agentヘッダーに埋め込まれたプロンプトインジェクションのペイロードは、バイト単位でログに記録されます。

問題は、AIコーディングエージェントがブロックされたイベントを確認する段階で発生します。エージェントは攻撃者の文章を、会社が意図した指示と区別する方法を持ちません。数カ月前に会社が発行した正規の認証情報を使って、DNSを書き換えてしまうのです。Tenetのベンチマークでは、Claude CodeをSonnet 4.6で動かした場合、Cloudflare推奨構成のもとで10回中9回、埋め込まれた指示に従ったと報告されています。

既存防御では検知不能

GhostJackingの特徴は、管理者アカウントの侵害も、ファイアウォールの回避も不要な点です。エージェントが実行する操作はすべて、元々認められていた範囲内にあります。エンドポイント検出、WAF、ID管理はルール違反を検知しないため、攻撃の途中で警告が上がることはありません。

攻撃面はログだけに限りません。Tenetは公開された設定を持つ48組織を確認し、そのうち6社がFortune 500企業に含まれるとしています。SecurityWeekは、DatadogとSentryでも同じ攻撃連鎖が成立すると報じました。DatadogやSentryの場合、アラートやエラーレポートがインジェクションの侵入口になります。

Sentryでは、認証のない公開された書き込み専用エンドポイントに、漏えいした識別子を使って細工したエラーレポートを投稿します。通常のトリアージ用プロンプトでは、コーディングエージェントがSentry自身のAIであるSeerにエスカレーションします。エージェントはSeerの分析をそのまま信頼してしまうという連鎖が確認されています。

モデル外の承認ゲート

OWASP Top 10 for LLM Applicationsの共同リードであるSteve Wilson氏（ExabeamのChief AI and Product Officer）は、モデルの外側に認可ゲートを置くことを最初の対策として挙げます。エージェントはDNS変更を提案できても、自分自身にその権限を付与できないようにする設計です。認可ゲートは、通過するか失敗するかを返すコードとして実装されるため、モデルの気まぐれに左右されません。

明確に定義された安全な変更は、決定的なポリシーチェックを通過し、自律実行を続けます。曖昧な変更や影響範囲の大きい変更は、指名された人間が実際の変更を承認するルートに回ります。Wilson氏は、エージェントが任意の高影響なインフラ変更を単独実行する能力を失う代わりに、自律的な調査と定型的な修復は維持できるというトレードオフになると説明しています。

Wilson氏は、プロンプト内の規則で解決しようとする試みに否定的です。プロンプトに書かれたセキュリティ規則はモデルの行動を形作ることはできても、強制力のあるセキュリティ管理策にはならないと指摘しています。この指摘は、『プロンプトでエージェントを守る』という発想への警告と読むこともできます。

残る構造的リスク

Tenetの実演を踏まえると、問題は特定の製品の欠陥ではなく、エージェントの構造そのものにあるとみられます。攻撃者が到達可能なデータを読み取り、影響の大きい変更を単独で実行できるアーキテクチャは、単一のプラットフォームのパッチでは解消しません。プロンプトインジェクションのブロック率を高めるだけでは、セキュリティ境界として機能しないというのが記事の主張です。

SC Mediaの報道によれば、実演で使われたエージェントはCursorで、GraphQL統合でログを読み取り、Cloudflare APIで書き込みを行いました。Cursorは汚染されたヘッダーを取り込み、DNSのAレコードを変更し、CNAMEを追加して攻撃者の所見を『解決』していました。この結果、攻撃者は企業のWebとメールのトラフィックを迂回させられる経路を手に入れることになります。