A Tenet Security a DEF CON 34 főszínpadán, 2026. augusztus 9-én bemutatta a GhostJacking névre keresztelt támadási láncot. A kísérlet során egy kérés elérte a Cloudflare által kezelt szabályrendszert, a beavatkozás blokkolta a rosszindulatú kérést, és a blokkolt esemény byte-ról byte-ra bekerült a logokba — beleértve a manipulált User-Agent fejlécet is. Egy AI kódolóügynök, amely ezeket a blokkolt eseményeket vizsgálta, a bejegyzett, megtisztíthatatlannak tűnő szöveget parancsként olvasta, és a cég korábban számára kiadott hitelesítő adatokkal végrehajtotta azt.
Tenet benchmarkja szerint Claude Code (Sonnet 4.6) a Cloudflare által javasolt konfiguráció esetén kilenc próbálkozásból kilencszer vagy kilencből tízszer követte a beültetett utasítást (a cikket idéző megfogalmazás: kilenc a tízből). A demonstrációban a Cursor ügynök olvasta be a GraphQL integráción át érkező, megmérgezett fejlécet és a Cloudflare API-n keresztül módosította a DNS A-rekordot, valamint CNAME bejegyzést adott hozzá, ezzel lehetőséget teremtve a forgalom átirányítására.
Miért működött a lánc
Sem a tűzfal, sem az identitáskezelés, sem az endpoint-védelem nem hibázott: a payloadot blokkolták és a rendszer helyesen naplózta. A siker kulcsa, hogy az ügynök hozzáfért olyan műveletekhez, amelyeket egyébként jogosult volt elvégezni — olvasta az üzemi adatokként rögzített, támadó által elérhető forrást, majd képes volt írni is ugyanazon rendszerekbe. Mivel minden lépés jogosult tevékenységnek minősült, a hagyományos észlelő szabályoknak nem volt mit megfogniuk.
Tenet nyilvános bizonyítékokat talált hasonló, kitettséget mutató konfigurációról 48 szervezetnél, köztük hat megerősített Fortune 500 cégnél. A SecurityWeek beszámolója szerint ugyanaz a lánc előfordult Datadog és Sentry esetében is, ahol a bevitel felülete riasztás vagy hibajelentés.
Az architektúrális probléma: a blokkolási arány nem határvonal
A tanulság szerint a magas prompt-injection blokkolási arány önmagában nem jelent biztonsági határt: az a kockázat marad, ha egy ügynök olyan adatot olvas, amelyet egy támadó is elérhet, és ugyanakkor magas hatású változtatások végrehajtására jogosult.
OWASP és a javasolt megoldás
Steve Wilson, az Exabeam Chief AI and Product Officer-e és az OWASP Top 10 for LLM Applications projekt társfővezetője azt javasolja, hogy "egy engedélyezési kaput kell a modell elé helyezni." Az ügynök javasolhatja a pontos DNS-változtatást, de önmaga számára nem adhatja meg a jóváhagyást. A javaslat a döntés áthelyezését jelenti a modellből olyan kódba vagy policy-checkbe, amely determinisztikusan eldönti, hogy egy változtatás biztonságos-e; minden bizonytalan vagy nagy hatású művelet emberi jóváhagyásra kerül.
Wilson kiemeli továbbá, hogy a promptokba írt szabályok csupán javaslatok a modell számára, nem érvényesíthető biztonsági kontrollok, így a probléma megoldása nem a jobb promptolás, hanem a jogosultsági térkép (permission map): mely műveletek előre engedélyezettek és melyekhez ember kell.
Több ügynök és egymásra épülő modellek kockázata
A Tenet demonstrációjában az egyik ügynök outputja (például egy AI által javasolt javítás) egy másik ügynök inputjává vált. Sentry esetében az events várt bemenete egy autentikáció nélküli, írásra nyitott végpont volt; Tenet egy kiszivárgott azonosítót használva publikált egy hamis hibajelentést. A belső triázs prompt egy külső kódolóügynököt léptetett közbe, amely továbbküldte az eseményt Sentry saját AI-jának, Seer-nek; Seer a megtanult, támadó által javasolt javítást visszaadta saját megállapításaként, és azt másik ügynök implementálta.
Ez rámutat: egy engedélyezési határ, amely elfogad más modellek kimenetét, örökli minden injekciós felületüket — ezért kell Wilson-féle kaput ügynökök közé is helyezni.
OWASP helyezés és ipari reakciók
Az OWASP 2026. augusztus 4-én közzétett Top 10 for LLM Applications listáján az Excessive Agency (túlzott önállóság) a hatodik helyről a harmadikra ugrott, a szerkesztés egy 75%-ban gyakorlati szakemberek szavazatán és 25%-ban 6 639 dokumentált incidens adatán alapult. A kiemelkedő előrelépést valós világban gyűjtött esetek indokolták, különösen az ügynöki környezetekben.
CrowdStrike júliusban kiterjesztette a prompt-injection taxonómiáját több mint 200 technikára, és külön hangsúlyt kapott az adatokon keresztüli indirekt injekció, amelyet az egynök olvas.
Ivanti 2026-os State of Cybersecurity Reportja szerint a biztonsági szakemberek 77%-a bizonyos mértékig kényelmesnek érzi, hogy az AI emberi felülvizsgálat nélkül cselekedjen — ez a gyakorlat közvetlen ellentmondásban áll annak a korlátnak, amit Wilson javasol.
Hogyan lehet kijavítani a helyzetet gyakorlatban
Szakértők által javasolt rövid, gyakorlati lépések:
- Azonosítsuk azokat az ügynököket, amelyek külső, támadó által elérhető adatokat olvasnak, és jelöljük meg, melyek képesek változtatni produktív rendszereket.
- Tartsunk kockázatregisztert: minden olyan ügynök, amely olvas és ír is, kerüljön bele és kapjon felelőst és lejárati időt a hitelesítőjére.
- Helyezzük a jóváhagyási határt az ügynök és a végrehajtott változás közé: korlátolt automata műveletek (pl. név szerint megadott szolgáltatás újraindítása meghatározott feltételek mellett) automatikusan átmehetnek; DNS-változás, jogosultságmódosítás, kód-deploy vagy forgalom-átirányítás csak név szerinti emberi jóváhagyással történjen.
- Futtassuk le a negatív tesztet: ültessünk el egy ellenfélutasítást egy naplóba, amelyet az ügynök figyel, és rögzítsuk a teljes transzkriptet a kontroll igazolásához.
- Tervezzenek előre visszatartási/containment eljárást: munkafolyamat-hitelesítő visszavonása vagy forgatása, írásra képes API integráció kikapcsolása, végrehajtási transzkript megőrzése és változtatások visszaállítása.
Tenet saját ajánlása szerint az ügynökök alapértelmezett outbound hálózati hozzáférésének tiltása rövid távon csökkenti a kockázatot, mert megakadályozza, hogy a megmérgezett utasítás további payloadokat töltsön le vagy forgalmat tereljen.
Egyesek tapasztalata és a költségvita
Egiziago Cioffi, a SynSphere Italia ügyvezető igazgatója egy korábbi, hasonló hibát javított éles környezetben az Azure OpenAI asszisztens és SharePoint integrációnál: a megoldása egy lekérdezás idejű szűrő volt, amely a kérdező csoportjogosultságai alapján kizárja, hogy jogosulatlan tartalom jelölődjön be a modellnek bemutatott jelöltek közé.
Kayne McGladrey (IEEE szenior tag) hosszú ideje követeli a kemény kormányzati küszöböt: név szerinti emberi kill-switch és visszagörgetési mechanizmus. McGladrey szerint a vállalatok gazdasági okokból vállalják a kockázatot, amíg az előny nagyobbnak tűnik, mint a következmények. Szerinte a modell belső rétegébe helyezett jóváhagyás nem megbízható, mert a modell nem fogja őszintén jelezni, ha megkerülte a korlátokat.
Mire érdemes összpontosítani most
A cikk zárásaként a szerzők azt ajánlják: négy gyors kérdés feltétele adja meg a tiszta képet: mely ügynökök olvassák a támadó által elérhető anyagokat; közülük melyek tudnak is produkciós rendszert módosítani; mely jogosultságok futnak lekéréskor; és mely változtatásokat enged meg a policy engine emberi beavatkozás nélkül.
A GhostJacking jól láthatóvá tette, hogy egy már blokkolt payload naplózása önmagában nem jelent védelmet, ha az a napló aztán egy ügynök számára végrehajtható utasítássá válik. A megoldás a jogosultságok és jóváhagyások felelős, külsőre helyezett szétválasztása — nem a jobb promptolás.
