LLM 主体のランサムウェア・キャンペーン JadePuffer：攻撃を自動化する AI エージェントの存在

JadePuffer Demonstrates How AI Agents Can Automate Ransomware Attack

2026/07/06 SecurityBoulevard — AI エージェントにより実行されたランサムウェア・キャンペーンが示すのは、継続的な人間の指示を必要としない LLM が、高度なサイバー攻撃を自動化している状況である。このオペレーションを分析した、クラウドセキュリティ企業 Sysdig の研究者は、それを JadePuffer と呼んでいる。そして、侵入全体を自律型 AI エージェントが処理するランサムウェア・キャンペーンに関する、初めて文書化された事例であると結論づけた。

この攻撃は、よく知られた脆弱性と、自動化による処理を組み合わせたものだった。

LLM アプリケーションの構築に使用される、オープンソース・フレームワーク Langflow の認証不要のリモートコード実行の脆弱性 CVE-2025-3248 を介して、アクセスが取得された。2025年4月の時点で、Langflow はパッチをリリースしていたが、インターネットに公開されたデプロイメントには脆弱性を露出するものがあった。

この攻撃が進むにつれて、AI エージェントは Langflow の PostgreSQL データベースからデータを抽出し、ホスト情報を収集していった。また、認証情報およびクラウド・シークレットを取り込む環境変数を検索し、ストレージ・リソースを探索した後に、標的環境の深層へと侵害を拡大した。

このエージェントは、標的の環境内でラテラル・ムーブメントを行い、永続化を確立し、権限を昇格させた後に、最終的に本番データを暗号化した。

攻撃中に調整された戦術

Sysdig が発見したのは、エージェントが状況の変化に応じて戦術を調整した証拠である。ある事例では、API が期待されていた JSON レスポンスではなく XML を生成した際に、その後段のコマンドが解析ロジックを自動的に変更していた。侵入の別の段階では、認証失敗から復旧した後に、修正されたアプローチを用いて、31 秒以内にログイン・シーケンスを正常に完了していた。

アクセスを維持するために、このマルウェアはスケジュールされた cron タスクをインストールし、30 分ごとに攻撃者が制御するインフラへ接続していた。そして、このキャンペーンは、侵害された Langflow サーバから Alibaba Nacos が動作する本番 MySQL サーバへとピボットした。そこで認証バイパスの脆弱性を悪用し、不正な管理者アカウントでのログインを成功させた。

最終段階では、被害者のコンフィグ・データベースが標的となった。Sysdig によると、このマルウェアは MySQL の暗号化関数を用いて、全体で 1,342 件の Nacos コンフィグ・レコードを暗号化した後に、元のコンフィグ・テーブルおよび履歴テーブルを削除した。続いて、身代金の指示／Bitcoin 支払いアドレス／Proton Mail の連絡先を含む、新しいデータベース・テーブルを作成した。

この身代金の要求自体が、AI 生成マルウェアのもう 1 つの特徴を示していると、研究者たちは捉えている。メモに記載された Bitcoin ウォレットは、活動中のランサムウェア・グループに関連するインフラではなく、開発者向けドキュメントで一般的に見られるサンプル・アドレスと一致していた。

さらに、調査の結果として判明したのは、暗号化キーは実行中に生成されたが、保持されることも、攻撃者へ送り返されることもなかったことだ。つまり、被害者が身代金を支払ったとしても、暗号化されたデータは復旧不能なままとなる。

LLM が攻撃の主体であるという、Sysdig の評価を裏付ける明白な証拠は、マルウェア自身のコードにあるようだ。一連のペイロードに含まれるものには、実行される個々のアクションの目的と意味を説明し、価値の高い標的を特定する、広範な自然言語コメントなどがある。この種の詳細な自己文書化は、LLM が生成したコードに特徴的である一方で、手作業で書かれたランサムウェア・ペイロードには含まれないと、研究者たちは述べている。

ただし、この事例により、防御上の優先事項が根本的に変化することはないと、セキュリティ専門家は指摘している。JadePuffer キャンペーンは、ゼロデイ・エクスプロイトではなく、公開済みの既知の脆弱性とミスコンフィグされたインターネット公開システムに依存するものである。したがって、露出した攻撃対象領域の削減／速やかなパッチ適用／アイデンティティ制御の強化／テスト済みのインシデント対応計画を維持する企業は、AI と人間が操作するランサムウェアの双方に対して、防御する態勢が整っていることになる。

訳者後書：AI システムが自ら判断して、サイバー攻撃を自動化する時代が到来しています。今回の JadePuffer と呼ばれるキャンペーンでは、開発で広く使われる Langflow フレームワークに存在する、リモートコード実行の脆弱性 CVE-2025-3248 が侵入経路として悪用されました。この問題の背景には、パッチが公開されているにもかかわらず、未適用のままインターネットに露出していたという管理上の不備があります。ひとたび侵入を許すと、AI が周囲の環境を自律的に探索し、最終的には本番データを暗号化して復旧不能にします。確実な対応策は、露出した資産の把握と速やかなパッチ適用、そして徹底したアクセス管理です。基本のセキュリティを丁寧に積み重ねる必要があります。