何が起きたか
Straikerの STAR Labs の研究者は (2026年8月24日)、汚染されたOpenTelemetry形式のテレメトリが1つのHTTPリクエストを介して配信され、自律型AI SREエージェントによって正当なインフラストラクチャアラートとして誤釈義される完全な攻撃チェーンを公開した。エージェントの「修復」レスポンス — Kubernetesマニフェストのデプロイ — はハイジャックされて、特権付きコンテナを作成し、ホストにエスケープしてランサムウェアを実行し、20分間エージェント独自のリカバリループを回避した。
なぜ重要か
これは、インフラストラクチャ書き込み権限を持つ自律型AIエージェントが、事前アクセスやクレデンシャルなしで、信頼するように設計されたデータ (テレメトリ) のみを通じて完全に武器化できることを示す、新規の完全に実証されたエージェント実行攻撃クラス (従来のソフトウェアバグではない)。これはクラウドプロバイダーとエージェントフレームワーク全体で一般化され、エージェントに運用上の自律性が付与される場所では、OWASP Agentic Top 10およびNCSC agentic-AIガイダンスが警告してきた体系的リスクを直接検証している。
攻撃経路
単一の細工されたHTTP POSTリクエストが公開ウェブアプリケーション (例:ログインエンドポイント) に対して、JSON符号化されたOpenTelemetry意味規約形式の間接プロンプトインジェクションペイロードをフォームフィールド (例:ユーザー名) に埋め込む。AI SREエージェントがこれを監視/テレメトリコンテキストとして取り込むと、ペイロードを正当なヘルスアラートとして解釈し、攻撃者指定の特権付きKubernetesコンテナをデプロイすることで「修復」する。コンテナは基礎となるEKSホストにエスケープし、AES-256-CBCでアプリケーションファイルを暗号化し、サービスを改ざんし、エージェント独自の自動回復を回避する永続性ウォッチドッグを保持する。
影響を受けるシステム
Kubernetes修復権限を持つAI SRE/opsエージェント (Amazon Bedrockベースのエージェントが監視するEKS ホスト型アプリケーションに対して実証; パターンはインフラ書き込みアクセス権を持つ任意のエージェントフレームワークに一般化)
緩和策
ベンダーパッチは適用されない (ソフトウェア脆弱性ではない)。Straiker/STAR Labs は以下を推奨する: エージェント向けテレメトリ/可観測性入力をLLMコンテキストに到達する前に実行可能な命令を削除する、エージェント ID に関わらず特権付きコンテナ作成をブロックするKubernetes アドミッション制御ポリシーを実装する、エージェント サービスアカウント の最小権限RBACスコープを適用する (cluster-adminまたは特権ポッドスペック権限なし)、推論された異常によってトリガーされるインフラストラクチャの変異に対して人間の承認ゲートを要求する。