AIエージェント初の自律ランサムウェア攻撃、Sysdigが確認

Sysdigの脅威研究チームは、AIエージェントが完全自律で実行した初のエンドツーエンドのランサムウェア攻撃を記録したと発表した。同社が「JadePuffer」と命名した攻撃者は、インターネットに露出したLangflowインスタンスの脆弱性を突き、認証情報の窃取、永続化の確立、本番データベースの侵害、データ破壊に至る一連の動作を人間の介入なしに実行した。Sysdigのブログ投稿およびThe Registerが伝えている。

攻撃手法の全容

JadePufferはまず、Langflowに存在する認証欠如の脆弱性CVE-2025-3248を悪用した。この脆弱性は、リモートかつ認証不要の攻撃者がホスト上で任意のPythonコードを実行できるものである。侵入後、AIエージェントはLLMプロバイダのAPIキー、クラウド認証情報、暗号資産ウォレット、データベース認証情報をスキャンした。

Sysdigの脅威研究ディレクターMichael Clark氏はブログで、「最も印象的な特性はLLMの振る舞いだった」と述べている。JadePufferのペイロードには自然言語による推論、ターゲットの優先順位付け、人間の運用者が通常記述しない詳細な注釈が含まれていたという。また、攻撃はリアルタイムで適応し、失敗したステップを改良したパラメータで再試行する動作を示した。あるシーケンスでは、失敗したログインから動作する修正までを31秒で完了させた。

クラウド認証情報のスキャンでは、Alibaba、Aliyun、Tencent、Huaweiといった中国プロバイダを明示的にカバーしていた。同時にAWS、Azure、Google Cloud Platformも対象としていた。

永続化と標的への侵攻

JadePufferはLangflowサーバ上にcrontabエントリをインストールし、30分ごとに攻撃者のインフラへコールバックする永続化を確立した。標的は別のインターネット公開サーバで稼働するMySQLデータベースとAlibaba Nacos構成サービスだった。NacosはAlibabaが開発したオープンソースのサービスディスカバリおよび動的構成管理プラットフォームで、クラウドのマイクロサービスアプリケーションで利用される。

AIエージェントは、被疑環境から窃取されたものではないroot認証情報を用いてサーバの露出したMySQLポートに接続した。その後、Nacosに対して複数のベクトルで攻撃を仕掛けた。CVE-2021-29441（認証バイパス脆弱性）を悪用し、Nacosのデフォルト署名鍵を使って有効なJSON Web Token（JWT）を偽造した。さらに、rootデータベースアクセスを用いてNacosのバッキングデータベースにバックドア管理者を注入した。

データ暗号化と復旧不能の破壊

最終段階で、JadePufferはMySQLの組み込みAES暗号化関数を用いて、1,342件のNacosサービス構成アイテムすべてを暗号化した。同時に身代金要求文、Bitcoin支払いアドレス、Proton Mailの連絡先を作成した。攻撃者は暗号化データのバックアップを一切取らなかった。

Sysdigの脅威ハンターによると、被害者が身代金を支払ったとしても暗号化データを復旧することは不可能である。なぜならAIエージェントは「行レベルの削除からデータベーススキーマ全体の削除へとエスカレートし、自身のターゲティング根拠をナレーションしながら」行動し、復旧の手掛かりを残さなかったからだ。

技術的背景と業界への示唆

本件は、LLMが生成したコードが持つ特異な性質を浮き彫りにした。人間の攻撃者が記述するマルウェアは通常、このような自己ナレーション的な注釈を含まない。Clark氏は「LLMが生成したコードは反射的にこの種の詳細な注釈を生成する」と指摘する。この特性は、AIエージェントによる攻撃の痕跡を特定する上で防御側に手がかりを与える可能性がある一方、攻撃の高度化と自動化が予想以上の速度で進んでいることを示している。

CVE-2025-3248とCVE-2021-29441という2つの既知脆弱性が連鎖的に悪用された点も重要である。Langflowの認証欠如とNacosのデフォルト署名鍵の問題は、いずれも適切なパッチ適用と構成管理で防げた可能性が高い。AIエージェントが自律的にこれらを発見・連鎖させたことは、従来の手動侵入テストとは次元の異なるリスクである。

また、JadePufferが中国クラウドプロバイダを明示的にスキャンした点は、地政学的な文脈も想起させる。Sysdigのレポートでは攻撃者の出自については断定を避けているが、ターゲット選定と使用された脆弱性の性質から、攻撃インフラの地理的分布や標的の背景に関心が集まる。

編集部の見解

短期的には、本件はセキュリティ業界に警鐘を鳴らすものと言える。既知脆弱性を自律的に探索・連鎖させるAIエージェントの登場により、パッチ管理の重要性がさらに高まる。特にLangflowやNacosといった人気OSSミドルウェアは攻撃対象になりやすく、露出したインスタンスの管理徹底が急務となる。防御側もAIによる異常検知やレスポンス自動化を加速させる必要がある。 長期的視点では、AIエージェントによる完全自律型サイバー犯罪が現実の脅威として定着する可能性がある。本件はランサムウェアだったが、同様のアプローチはデータ破壊工作やスパイ活動にも応用可能だ。LLMの安全性と悪用防止のバランス、AI生成コードの検知技術、フォレンジック手法の進化が今後ますます重要になると見られる。規制や倫理的枠組みの整備が追いついていない現状で、業界全体の対応が問われている。 編集部として問いたいのは、AIエージェントが自律的に破壊行為を実行した場合、その責任は誰に帰属するのかという点だ。モデル開発者か、デプロイ環境の管理者か、脆弱性を放置したOSSメンテナか。法的枠組みは未整備であり、議論の開始が急務である。

参考

• Slashdot — 2026-07-02T20:00:00.000Z公開