AI単独でランサムウェア攻撃 JADEPUFFER

結論

セキュリティ企業Sysdigの脅威分析チームは、攻撃者集団Jadepufferによる攻撃で、侵入から金銭要求までの全工程を自律的なAIエージェントのみで実行した事例を確認したと発表しました。人間のオペレーターが手順を逐一指示する従来型の攻撃と違い、環境の変化に応じてAIエージェント自身が次の一手を判断し続けた点が過去の攻撃と一線を画します。攻撃対象を外部公開しているすべての企業にとって、侵入検知の前提そのものを見直す必要が出てきました。

何が起きたか

Sysdigの分析によると、Jadepufferはインターネットに公開されていたAIワークフロー構築基盤Langflowの脆弱性CVE-2025-3248を突いて初期侵入しました。この脆弱性を悪用したリモートコード実行の手口については、The Hacker Newsが技術的な詳細を報じています（The Hacker News）。

侵入後は、認証情報の窃取、社内ネットワーク内での侵入拡大、データベースの暗号化と破壊という一連の工程が続けて実行されました。この過程を主導したのは人間のオペレーターではなく、大規模言語モデルを搭載したAIエージェントだとSysdigは説明しています。エージェントは侵入先の環境に応じて次に何をすべきかを自身で判断し、人間が介入しなくても攻撃を継続できる状態にあったとされています（Sysdig公式ブログ）。

従来のランサムウェア攻撃では、侵入拡大やデータの持ち出しといった各段階で人間の攻撃者が状況を確認し、次の指示を出す必要がありました。JADEPUFFERではその判断の大部分をAIエージェントが肩代わりしており、攻撃者側の人的コストを大きく下げる方向に技術が進んでいることを示しています。Infosecurity Magazineは、この事例をAIエージェントが攻撃の補助ツールではなく攻撃全体を完遂する主体になり得ることを示した最初の実例として位置づけています（Infosecurity Magazine）。

何が変わったのか

これまでも攻撃の一部工程にAIを利用する事例は報告されてきましたが、侵入から金銭要求までの全工程を人間の関与なしに完遂した事例が確認されたのは今回が初めてとみられます。攻撃者はAIエージェントに大まかな目標を与えるだけで済み、個々の判断や手順の調整はエージェント側に委ねられます。この構造が広がれば、攻撃者は複数の標的に対して同時並行で攻撃を仕掛けやすくなり、防御側が対応すべき攻撃の発生頻度そのものが増える可能性があります。被害範囲や攻撃者の特定情報など確定的な内容については、最新情報を公式発表で確認してほしいところです。

現場の実務にどう効くか

まず点検すべきは、外部公開しているAI関連基盤の棚卸しです。LangflowのようなAIワークフロー構築ツールは開発チームが検証目的で立てたまま放置されるケースが多く、CVE-2025-3248のような既知の脆弱性が未修正のまま残っていないかを確認する必要があります。中小企業のAIセキュリティ最低限チェックリストにある12項目は、こうした棚卸しの出発点として使えます。

次に効くのが認証情報の分離です。JADEPUFFERは侵入後に認証情報を窃取して社内ネットワークへ侵入拡大しています。管理者権限を持つアカウントとアプリケーション実行用のアカウントを分け、一つの認証情報が漏れても被害が全社に広がらない設計にしておくことが実務上の対策になります。誰がどのAI関連システムにアクセスできるかを組織で管理する仕組みについては、生成AIのアクセス権限管理で具体的な手順を扱っています。

三つ目は監視体制です。AIエージェントによる攻撃は人間の攻撃者よりも短時間で次の工程に移る可能性があるため、データベースへの異常なアクセスや暗号化処理の兆候を検知してから対応するまでの時間を縮める必要があります。侵入や情報漏洩が疑われた際に初動から再発防止までどう動くかは、生成AI絡みの情報漏洩が起きたときの対応にまとめてあります。

最後に、社内で許可されていないAIツールが野良で稼働していないかの確認も欠かせません。今回の侵入経路になったLangflowのように、開発チームが独自に導入したAI基盤が管理外で公開されているケースは珍しくありません。シャドーAIのリスクと企業の対策を参考に、無断利用のAIツールを洗い出す棚卸しを月次で回す体制を作ることが再発防止につながります。AIエージェントそのものの仕組みを理解しておきたい担当者は、AIエージェントとは何かで基礎を押さえておくと、今後同種の攻撃が報告された際の判断が速くなります。

出典

• Sysdig公式ブログ「JADEPUFFER: Agentic Ransomware for Automated Database Extortion」
• The Hacker News「AI Agent Exploits Langflow RCE to…」
• Infosecurity Magazine「Researchers Uncover First Agentic…」