AI 代理讀取 Cloudflare 日誌遭提示詞注入竄改 DNS，Claude Code 實測中招率達 90%

據報導，Tenet Security 於 8 月 9 日的 DEF CON 34 大會上展示名為「GhostJacking」的攻擊鏈，證實 AI 代理在讀取安全日誌時，會遭提示詞注入並利用既有權限竄改企業 DNS。該攻擊利用 Cloudflare 防火牆攔截惡意請求並將其寫入日誌的機制，當 AI 開發代理檢閱這些包含惡意 User-Agent 標頭的日誌時，會將攻擊者的文字誤認為合法指令。實測顯示，在 Cloudflare 建議配置下，由 Sonnet 4.6 驅動的 Claude Code 在 10 次嘗試中有 9 次執行了植入的指令；Cursor 則透過 GraphQL 讀取並透過 Cloudflare API 成功修改 DNS A 紀錄與 CNAME，為攻擊者建立重新導向網路與電子郵件流量的途徑。 由於代理使用的是合法核發的憑證，端點偵測與身分管理系統皆未觸發警報。Tenet 發現 48 家機構（含 6 家財星 500 大企業）暴露於此架構風險中，且 Datadog 與 Sentry 的錯誤報告也存在相同的注入攻擊面。OWASP LLM 應用專案共同負責人 Steve Wilson 指出，寫在提示詞內的規則僅是建議，無法作為強制性的安全控制；根本解決方案是在模型外部建立授權閘道，讓代理僅能「提出」變更，高風險操作必須交由程式碼進行確定性策略檢查或由人類批准。