La parte pericolosa non è il firewall che blocca il traffico. È che un AI agent può leggere i log e gli alert del firewall come se fossero istruzioni, e così trasformare la telemetria di sicurezza in un canale di comando. In questo schema, il blocco non ferma l’attacco: lo consegna all’agente.
Tenet Security ha mostrato a DEF CON una tecnica, Ghostjacking, che usa testo avvelenato in Cloudflare, Datadog e Sentry per far eseguire a Claude Code istruzioni dell’attaccante. Nel demo l’agente ha potuto modificare DNS, eseguire codice, sottrarre credenziali cloud e lasciare accessi persistenti nella propria memoria o configurazione, sfruttando fiducia già concessa invece di aprire una nuova falla.
Per i team che collegano AI coding agent o copiloti a log, ticket, alert, console cloud o strumenti di rilascio, il punto è il confine di fiducia: se il sistema legge dati operativi e può anche agire, quei dati possono diventare il vettore dell’azione. Il rischio non resta legato a Cloudflare, Datadog o Sentry; vale per qualsiasi flusso in cui testo non fidato e capacità operative convivono nello stesso agente.