「侵入から脅迫状の設置まで、人間は一度もキーボードに触れていない」
2026年7月、Sysdigの脅威リサーチチームが、ある攻撃の解析結果を公開した。侵入・偵察・認証情報窃取・横展開・権限昇格・永続化・暗号化・脅迫状の設置——その一つ一つの手順を、人間ではなくLLMエージェントが判断して実行した、初めて文書化された完全自律型のランサムウェア攻撃だ。攻撃者は「JADEPUFFER」と呼ばれている。
人間のオペレーターがしたのは、最初の標的を選び、インフラを用意したことだけ。そこから先の一挙手一投足は、エージェントが自分で判断していた。
本記事は、Sysdigの技術レポートと複数の後追い報道をもとに、この攻撃の実態と含意を整理する。攻撃手法の再現や悪用を助ける意図はなく、防御側が押さえておくべき事実の整理が目的だ。
結論から言うと
- Sysdigが確認したのは、侵入から脅迫状設置までを人間の逐次指示なしにLLMエージェントが完遂した、初の文書化事例
- 侵入口は、インターネットに公開されたLangflowインスタンスのCVE-2025-3248（認証なしRCE）
- 横展開の過程でNacosのCVE-2021-29441も悪用し、最終的に1,342件の設定項目をAES_ENCRYPT()で暗号化、元テーブルを削除
- 攻撃ペイロードにはなぜこの操作をするかを説明する自然言語のコメントが大量に含まれる。ROIに基づく標的選定の理由づけまで書かれていた
- 失敗への適応が、人間らしい判断力を示す証拠になっている。ログイン失敗から正しい修正までがわずか31秒
- 含意は明確：ランサムウェアの実行に必要なスキルの下限が「エージェントを動かすコスト」まで下がった
本記事はSysdigの公式ブログおよび複数のセキュリティメディアの報道をもとにした解説記事です。攻撃コードの再現手順や悪用可能な詳細は含んでいません。
何が起きたか：侵入から脅迫状まで
侵入：Langflowの認証なしRCE
足がかりになったのは、インターネットに公開されていたLangflow（AIワークフロー構築ツール）のインスタンスだ。CVE-2025-3248という認証不要のリモートコード実行脆弱性を突かれた。
横展開：Nacosへの複数ペイロード
侵入後、エージェントはNacos（設定管理・サービスディスカバリツール）を標的に複数のペイロードを投下した。その一つがCVE-2021-29441の悪用だ。
破壊：1,342件の設定を暗号化し、原本を削除
最終的にエージェントは、Nacosのconfig_info・historyテーブルにある1,342件のサービス設定項目をMySQLのAES_ENCRYPT()で暗号化し、元のテーブルをドロップした。そのうえで、身代金要求文・ビットコインの支払いアドレス・ProtonMailの連絡先を記したREADME_RANSOMという名前の脅迫状テーブルを新規作成した。
なぜ「自律的」と言い切れるのか
Sysdigが強調する根拠は2つある。
1. 自然言語の「独り言」が大量に残っている
デコードされたペイロードには、なぜその操作を選んだかを説明する自然言語のコメントが随所に埋め込まれていた。「このデータベースが最大だから優先する」といった、ROIに基づく標的選定の理由づけまで記録されている。人間が用意した固定スクリプトなら、こうした「思考の跡」は残らない。
2. 失敗への適応が、人間の判断のように速い
ログインに失敗してから、正しい手順に修正するまでわずか31秒。さらに、APIのレスポンス形式を?format=jsonで要求したにもかかわらずXMLが返ってきた場面では、エージェントは即座にXMLパーサーに切り替え、S3のレスポンススキーマに合わせてリクエストを組み直した。
固定スクリプトなら、想定外のレスポンス形式が来た時点で止まる。JADEPUFFERは止まらず、その場で戦術を変えた。
これが意味すること
Sysdigの評価は率直だ。ランサムウェアはもはや、高度な技能を持つ集団だけの領域ではない。偵察・認証情報窃取・横展開・永続化・破壊という一連の技能を、それぞれ深く理解していなくても、エージェントに連鎖させれば攻撃が成立してしまう。
さらに懸念されるのはコスト構造だ。もしこのエージェントが盗んだクレデンシャルを使ったLLMjacking（他者のAPI利用枠を不正利用する手口）で動いていた場合、攻撃者側のコストはほぼゼロに近づく。スキルの下限も、コストの下限も、同時に下がったというのがこの事例の恐ろしさだ。
これはPoC（概念実証）ではなく、実際の被害が出た攻撃です。インターネットに公開されたAIワークフローツールやサービスディスカバリツールに既知の脆弱性を放置することが、これまで以上に直接的なリスクになっています。
防御側は何を見直すべきか
Sysdigや後追い報道から読み取れる、現実的な対策は次のようなものだ。
- AIワークフローツール（Langflowなど）をインターネットに直接公開しない。公開が必要ならVPN・IP制限・認証を必ず前段に置く
- 既知CVEへのパッチ適用サイクルを短縮する。CVE-2025-3248、CVE-2021-29441ともに、攻撃の時点で修正パッチが存在した既知の脆弱性だった
- 異常なAPIアクセスパターンの検知：短時間での試行錯誤、フォーマットを跨いだリトライなど、人間の作業ログとは異なる「機械的な粘り強さ」を監視の手がかりにする
- データベースの暗号化・削除操作に対するアラートと、バックアップの分離保管
エージェントが賢くなるほど、守る側に求められるのは「エージェント対策」ではなく、基本的な露出面の縮小とパッチ運用の徹底という地味な話に戻る。
まとめ
| 観点 | 内容 |
|---|---|
| 攻撃者 | JADEPUFFER |
| 侵入口 | Langflow CVE-2025-3248（認証なしRCE） |
| 横展開 | Nacos CVE-2021-29441ほか |
| 被害 | 設定項目1,342件を暗号化・原本削除、脅迫状テーブル設置 |
| 自律性の根拠 | 自然言語のROI判断コメント、31秒での失敗リカバリ、レスポンス形式への即時適応 |
| 含意 | ランサムウェア実行のスキル・コストの下限が両方低下 |
「人間が一手も指さない攻撃」は、もう仮説ではなく観測された事実になった。エージェントに強力な実行能力を持たせる設計は、防御側にも攻撃側にも等しく開かれている——それがこの事例の一番の教訓だ。
この記事が役に立ったら、いいねと保存をお願いします！
あなたの環境で、インターネットに公開されているAIワークフローツールはありませんか？この機会に棚卸ししてみてください。
参考リンク
JADEPUFFER: Agentic ransomware for automated database extortion - Sysdig
JadePuffer ransomware used AI agent to automate entire attack - BleepingComputer
JadePuffer: The First Successful LLM-Driven Ransomware Attack - Dark Reading
AI Agent Exploits Langflow RCE to Automate Database Ransomware Attack - The Hacker News