Tenet hatte bereits zuvor gezeigt, wie sich Datenströme für KI-Agenten manipulieren lassen, um deren Verhalten zu verändern. Dieses Vorgehen bezeichnet das israelische Cybersicherheits-Start-up als „Agentjacking“. „Ghostjacking“ knüpft daran an, verlagert den Angriff aber auf Logs und Alarme, in denen ein externer Angreifer seine Anweisungen hinterlegen kann.
Nach Angaben von Tenet trifft das Problem besonders vertrauenswürdige Plattformen. Genannt werden Cloudflare, über das 20 Prozent des gesamten Webverkehrs laufen, sowie Datadog und Sentry. Cloudflare und Datadog würden jeweils von fast der Hälfte der Fortune-500-Unternehmen genutzt, Sentry wiederum von fast 4 Millionen Entwicklern.
Für Cloudflare beschreibt Tenet einen Angriffsweg über eine empfohlene Sicherheitskonfiguration. Demnach blockiert eine Firewall-Regel eine schadhafte Anfrage, protokolliert deren Inhalt aber Wort für Wort. Dadurch landen die vom Angreifer eingebetteten Anweisungen als Klartext im Log. Fordert ein Analyst dann einen Agenten auf, das Ereignis zu prüfen, liest die KI diese Instruktionen und führt sie aus. Laut Tenet änderte der Agent daraufhin DNS-Einstellungen der Organisation auf eine vom Angreifer kontrollierte Domain und meldete den Vorfall anschließend als gelöst.
Tenet erklärt dazu: „Es funktionierte in neun von zehn Fällen gegen Claude Code. Jede Anfrage war bereits blockiert worden. Die Domain wurde trotzdem übernommen. […] Es ist die von Cloudflare verwaltete Sicherheitsregel, die die Anfrage blockiert, und genau dieser Block transportiert den Angriff nach innen.“
Ein zweiter Vektor zielt laut Tenet auf Datadog. Dabei werde ein für das Frontend gedachter Schlüssel missbraucht, der oft offen zugänglich bleibe. Das Unternehmen gibt an, mehr als 2.700 solcher Schlüssel im Internet gefunden zu haben. Mit einem solchen Schlüssel könne ein Angreifer einen gefälschten „dringenden Diagnosealarm“ platzieren. Wenn ein Entwickler seinen KI-Agenten daraufhin nach Fehlern suchen lasse, lese dieser die Meldung und führe den darin enthaltenen Befehl aus. In der Demonstration habe Claude Code so Code ausgeführt und Umgebungsgeheimnisse sowie Cloud-Zugangsdaten exfiltriert.
Für Sentry beschreibt Tenet einen Ablauf über einen präparierten Bericht, der von Sentrys KI-Agenten Seer gelesen wird. Seer übernehme dabei einen vorgeschlagenen gefälschten Fix als eigene Empfehlung. Sobald diese Korrektur an einen Coding-Agenten weitergereicht werde, der Seer vertraut, werde der vom Angreifer eingebrachte Code ausgeführt.
Tenet berichtet zudem, einen KI-Agenten eingesetzt zu haben, um den Angriff zu entwerfen, den ein anderer Agent später ausführen sollte. „Jedes Mal, wenn die Ziel-KI die Ausführung verweigerte, verriet ihre Ablehnung die Formulierung, die sie akzeptieren würde, bis sie den Angriff gegen sich selbst ausführte“, erklärt das Unternehmen. Es habe sich um einen kontrollierten Labortest mit zwei getrennten KI-Sitzungen gehandelt, eine als Angreifer und eine als Ziel, beide ohne Speicherfunktion.
Zusätzlich hat Tenet nach eigenen Angaben eine Schwachstelle in Claude Desktop gefunden, über die sich Daten an einen entfernten Server exfiltrieren ließen. Anthropic habe den Fehler ohne Vergabe einer CVE behoben.
Die drei Beispiele seien laut Tenet keine voneinander unabhängigen Fehler, sondern Ausdruck desselben Musters: Eine KI lese externe Daten aus einer als vertrauenswürdig eingestuften Quelle und könne zugleich auf Basis dieser Daten handeln. Dasselbe Muster finde sich auch über Cloudflare, Datadog und Sentry hinaus, etwa in Konstellationen mit Splunk und einem Build-System oder mit Datadog und Kubernetes.