何が起きたか
Elasticの四半期脅威レポートは、実際の攻撃者が承認されたAIコーディングエージェントとデスクトップAIアプリをコマンド実行および資格情報流出シェルとして悪用していることを確認し、資格情報盗難後の横方向移動を可能にしたHugging Face悪意のあるデータセットチェーン（環境シークレットを公開するHDF5外部ストレージページ、およびJinja2テンプレートインジェクション）を再構築しています。このレポートは、エージェント型侵入が、エージェントが触れるプロセス、資格情報、ネットワークパスを介して依然として追跡可能であると位置づけています。
なぜ重要か
これは、ベンダー署名されたAIエージェントが実際の、現在の侵入面であるという実際の検証です。エージェントは資格情報を保持し、インターネットに到達できるため、その背後にある攻撃者の活動は承認された従業員自身の使用のように見え、区別が難しく見逃されやすいものになります。また、公式AIプラットフォームツール（データセット）をコード実行サプライチェーンベクトルに結び付けます。
攻撃経路
Elasticの最初の'threats,etc'レポート（2026年11月5日公開）は、攻撃者がベンダー署名されたAIエージェントを「明示的に信頼された親プロセス」として駆動する確定した侵入を文書化しています: RDP経由でVS Code拡張機能を通じてClaude Codeを実行し、ChatGPTデスクトップアプリをシェルコマンドプロキシとして使用して内部ドキュメントを読み取り、ログインキーチェーンをダンプします。エージェントセッションは権限バイパスフラグ（例: --allow-dangerously-skip-permissions）で開始され、Cloudflareクイックトンネルを立ち上げ、永続的なLaunchAgentsをインストールしました。また、悪意のあるデータセットがHDF5外部ストレージページを介して環境シークレットとワーカーソースを公開し、Jinja2テンプレートインジェクションを使用してデータセット処理パイプラインを悪用したHugging Faceインシデントチェーンも再構築しています。
影響を受けるシステム
AIコーディングエージェント（VS Code拡張経由のClaude Code、ChatGPTデスクトップアプリ）およびHugging Faceデータセット処理パイプライン（HDF5外部ストレージ / Jinja2テンプレートインジェクション）
緩和策
承認されたAIエージェントを信頼されたシンクではなく監視対象の攻撃面として扱ってください: エージェントが生成する子プロセスを監視し、広範なバイパスフラグではなくエージェントの権限を制限/スコープし、外部への到達を制約し、実行前にリモートコード/Jinja2機能を持つデータセットを検証してください。