サイバー脅威
兆候はすでにあった：初の自律型ランサムウェア事例が裏付けたこと
AIエージェントが、侵入からデータ破壊までのランサムウェア攻撃を初めて単独で実行しました。TrendAI™ Researchが予測してきた自律型攻撃は現実のものになり始めており、その防御は、既知の痕跡のブロックから挙動の検知へと軸足を移すことになります。
- セキュリティ研究者が、AIエージェントが実稼働環境の標的に対してランサムウェアのオペレーション全体を単独で実行した事例を記録しました。最初のエクスプロイトからデータ破壊まで、すべてのステップを自ら計画し、適応しながら遂行しています。これは、当社のリサーチが予測してきた自律型犯罪オペレーションへの移行を示す、実世界における早期の証拠です。
- エージェントが実行する攻撃は、防御側が頼れるものを変えてしまいます。再利用可能なツールやインフラではなく、被害者ごとに使い捨ての痕跡しか残さないため、防御の重心は、侵入の痕跡（IoC）の共有とブロックから、挙動やテクニックに基づく検知へと移ります。
- 新しいのは自動化であって、攻撃手法そのものではありません。エージェントが悪用した弱点はいずれも古くからよく知られたものでした。そのため、インターネットに公開されたAI・自動化プラットフォームを運用している組織や、デフォルトのまま変更されていない認証情報を抱えている組織にリスクが集中し、そのギャップを塞ぐために残された時間も短くなります。
- 侵入自体は成功した一方で、収益化の段階は破綻していました。エージェントは自ら生成した暗号鍵を保存せず、実際の支払いインフラの代わりにプレースホルダーのアドレスを使っていたため、仮に被害者が要求に応じていたとしても、この攻撃が収益を生むことはあり得ませんでした。
ランサムウェアの背後には、これまで必ず人間がいました。標的を選び、アクセスを購入または確保し、ツールを操作し、身代金を要求して被害者から金銭を引き出すのは、人間の役割でした。しかし、セキュリティ企業Sysdigが今月報告した（英語）、JADEPUFFERと名付けられた侵入事例では、その人間が存在しませんでした。同社の報告によれば、大規模言語モデル（LLM）のエージェントが実稼働システムに侵入し、認証情報を窃取して内部へ侵攻し、データベースを暗号化して原本を破壊し、ランサムノート（脅迫文）を残しました。侵入から破壊に至るまでキーボードの前に人間はおらず、エージェントがほぼリアルタイムで各ステップを自ら選択し、順序立てて実行していたのです。
人工知能（AI）がアシスタントではなくオペレーターとして振る舞うという変化は、Anthropicが2025年11月に報告したものです。同社によれば、国家との関連が疑われるグループが、Claudeモデルを「単なる助言者としてではなく、サイバー攻撃そのものを実行するために」（英語）使用していました。JADEPUFFERはこれと同じ段階に踏み込んだ攻撃ですが、狙いはスパイ活動ではなく恐喝にあります。
これは、TrendAI™ Researchが追跡してきた方向性とも一致します。2025年12月に公開した「サイバー犯罪の次の段階」（英語）に関するリサーチは、この転換をいち早く指摘し、犯罪活動が、人間が購入した能力を組み合わせる「Cybercrime-as-a-Service（サービスとしてのサイバー犯罪）」から、エージェントが仕事そのものを実行する「Cybercrime-as-a-Sidekick（相棒としてのサイバー犯罪）」へ移行すると述べていました。報告では、JADEPUFFERは初のエージェント型ランサムウェアと位置付けられています。JADEPUFFERは、侵入におけるAIの役割が、文章の作成からオペレーション全体の遂行へとどこまで高まったかを示しています（図1）。
ここに至るまでの事例
JADEPUFFERは、2年間にわたるAI活用型攻撃の進化の最新事例です。2026年1月の「State of Criminal AI」（英語）に関する更新では、犯罪エコシステムが産業化した一方で、依然として実用上の大きな制約に直面していることを明らかにしました。たとえば、LLMにその場で自らのコードを書かせるマルウェアは、プロバイダーがキーを無効化した瞬間に機能を失います。当時、当社はこれを「革新的ではあるが、実績ある手法を置き換えるほどの信頼性はまだない」と評価していました。
本事例に至る道筋にはいくつかの独立した事例があり、それぞれが、自律型ランサムウェアのオペレーションに必要な要素を1つずつ提供してきました。
- LameHug（PROMPTSTEALとしても追跡され、2025年7月に報告）は、稼働中のLLMに問い合わせて自らのコマンドを生成する様子が確認された初のマルウェアでした。ただし、人間が操作するデータ窃取ツールであり、ランサムウェアのキルチェーンではありませんでした。
- PromptLock（2025年8月にESETが報告（英語））は、「AI搭載ランサムウェア」と称されましたが、実際の被害者に対して実行されたことのない学術的な概念実証にとどまりました。
- Anthropicによる2025年11月の開示（英語）は、AIエージェントが実際の侵入の大部分を実行したことを示しましたが、これは国家主導のスパイ活動であり、破壊ではなくデータ窃取を目的としていました。
- その約7週間前に報告された、自己修正しながら進む別の自律型侵入（英語）は、実際の被害者に到達したものの、破壊には至らずデータの持ち出しにとどまりました。
JADEPUFFERは、これまでのどの事例とも異なり、3つの要素が初めて同時にそろった事例です。エージェント主導によるエンドツーエンドの完全な攻撃チェーン、恐喝を狙った破壊的なインパクト、そして実稼働環境の標的という3要素です（図2）。
オペレーターとしてのエージェント
この攻撃の自律性を最もよく示すのは、エージェントが指示されずに何を行ったかです。当社の2025年12月のリサーチでは、犯罪者のエージェント型アーキテクチャを3つの層で整理しました。行動する「エージェント層」、計画と適応を担う「オーケストレーション層」、意思決定を支える「データ層」です。本事例において、計画と適応を担うオーケストレーション層は、人間のオペレーターではなくモデルそのものでした。
Sysdigの報告によれば、エージェントは、インターネットに公開されたAIワークフロープラットフォーム「Langflow」のインスタンスに存在する、未修正かつ認証不要のリモートコード実行の脆弱性を突いて侵入しました。この脆弱性CVE-2025-3248は、共通脆弱性評価システム（CVSS）のスコアが9.8で、Langflow 1.3.0で修正されており、2025年5月にはCISAの「悪用が確認された脆弱性カタログ（KEV）」にも追加されています。そこからエージェントは、クラウドやAIプロバイダーのキーを含む認証情報を窃取し、デフォルトの認証情報のままだったMinIOオブジェクトストレージに到達した後、Nacos構成サーバとその背後にある本番データベースへと侵攻しました。さらに、Alibaba Nacosにおける2021年の認証バイパス（CVE-2021-29441）と、標的が一度もローテーションしていなかったデフォルトの署名鍵を組み合わせて管理者トークンを偽造し、バックドアアカウントを設置して権限を昇格させました。
エージェントは、30分ごとにC&Cサーバへビーコンを送信するスケジュールタスクによって足場を維持しました。その後、約1,342件のNacos構成レコードを暗号化し、元のテーブルを削除し、ランサムノートを挿入しました。これらはすべて、人間にも実行できた行為です。しかし報告によれば、実行した人間はいませんでした。1つのエージェントが、この一連の流れ全体を単一の連続したループとして実行したのです（図3）。
エージェントは、短時間のうちに、それぞれ明確な目的を持つ600を超えるペイロードを発行しました。バックドアの管理者アカウントを作成してログインに失敗した際には、原因（不正な形式のパスワードハッシュ）を診断し、壊れたアカウントを削除し、ハッシュを正しく再生成してアカウントを登録し直し、アクセスを確認するまでを約31秒で完了しています。ストレージサービスが想定外の形式でデータを返したときには、自らのパーサーを書き直して対応しました。攻撃経路の1つでカスタムシークレットが使われていると判明したときには、その経路を即座に放棄しました。
失敗のたびにその場で書き直して回避するこのパターンは、固定されたスクリプトでもなければ、チェックリストをなぞる人間の作業でもありません。目の前の状況を推論しながら動くオペレーターに近いものです。当社のリサーチは、1つの意思決定がアクセスからインパクトまで人間の介在なしに実行され得るこの能力が、従来の攻撃チェーンを崩壊させると警告していました。
エージェント主導の攻撃が防御側にもたらす変化
この攻撃チェーンの崩壊は、個々の痕跡よりも重要な3つの帰結を防御側にもたらします。いずれも、本オペレーションに固有のものではありません。
エージェント主導の攻撃には、ブロックできるものがほとんど残らない
従来のランサムウェアは証拠を豊富に残します。ツール、バイナリ、インフラを再利用するため、業界の防御の多くは、侵入の痕跡（IoC）の共有とブロックの上に築かれてきました。JADEPUFFERは、そのほとんどを残しませんでした。ペイロードはインラインコードであり、事実上この被害者専用のものだったため、ファイルハッシュは存在しません。C&Cアドレスは、すでに機能していない可能性があります。コード内に記されたデータの持ち出し先は、証拠から見る限りモデルが作り出したものでした。身代金の送金先アドレスは、ドキュメントから複製された公開サンプルでした。
使い捨てのコードを書き、自らのインフラを即席で用意するエージェントが残すのは、被害者ごとに使い捨てられる痕跡だけです。そのため、防御の負荷は痕跡から挙動とテクニックへと移ります。持続的なシグナルとなるのは挙動です。アプリケーションサーバがペイロードをデコードして実行するプロセスを生成する、スケジュールタスクが一定間隔でビーコンを送信する、データベースプロセスが構成テーブルを暗号化した後に削除する、といった挙動です（表1）。
エージェントは自らの意図を語るが、その一部は虚偽である
本事例は、新しい種類の証拠を生み出しました。エージェントのペイロードには、自分が何をしていて、なぜそうしているのかを平易な言葉で説明するコメントが大量に含まれており、あるデータベースを削除する前に「High-ROI（高い投資対効果）」とタグ付けしたメモまでありました。エージェント自身の言葉で書き出された意図は、防御側がこれまでほとんど手にしたことのない種類の証拠です。動機の理解や、タイムラインの再構築に役立ちます。
一方で、この自己解説には事実でない主張も含まれていました。最も明確なのは、データを外部サーバへ持ち出したという主張で、報告ではその証拠は見つかっていません。これはハルシネーション、つまりLLMが誤った情報を全く疑うことなく述べてしまうのと同じ失敗モードと見られます。Anthropicも自社の事例で同様の現象を確認しており、モデルは「時折、認証情報をでっち上げたり、実際には公開されていた情報を機密情報として抜き出したと主張したりした」と報告しています。エージェントによる自己申告は、事実ではなく手がかりです。そこから洞察を引き出しつつ、すべての主張を独立に検証することは、新たに身につける価値のあるスキルといえます。
何が新しく、何が失敗したのか
本事例で新しいのは攻撃手法ではなく、エージェントがオペレーション全体を単独で実行し、途中で自らのミスを修正していった点です。破綻したのは収益化の層でした。暗号鍵は一度だけ生成されてコンソールに出力され、保存されなかったため、仮に身代金が支払われたとしてもデータを復号することはできませんでした。身代金の送金先アドレスも攻撃者のものではありません。当社独自の分析により、公開されているBitcoinのドキュメントに掲載されたサンプルアドレスであり、エージェントが実際の支払い先の代わりに引き当てた値であることが確認されています。リークサイトも、2番目の被害者も存在しませんでした。
結果から見れば、これは機能する恐喝スキームというより、破壊行為に近いものでした。しかし、それで重要性が下がるわけではありません。自律型ランサムウェアが成立することを示す早期のシグナルです。侵入はエンドツーエンドで成功し、収益だけが実現しませんでした。誇張された表現を取り除いても、評価は変わりません。この能力は実在し、今後も向上し続けます（図4）。
まとめ
JADEPUFFERは、仕組みこそ機能したものの収益にはつながらなかったため、単なる失敗した恐喝の試みと見ることもできます。しかし、より重要なのは、AIエージェントが侵入を最初から最後まで実行し、人間と同じように障害に適応しながら、人間には不可能な速度で動いたことを示す報告が、1つの事例として現れたという事実です。
当社のVibeCrimeリサーチ（英語）は、犯罪者によるエージェント型AIの採用は当初こそ緩やかであるものの、どこかのグループがこのアプローチの採算性を証明した時点で一気に加速すると論じていました。JADEPUFFERはその瞬間ではありませんが、その瞬間が手の届く範囲にあることを示しています。対策そのもの（インターネットに公開されたプラットフォームへのパッチ適用、デフォルトのまま変更されていない認証情報の一掃）は、新しくも特殊でもありません。本当に変わったのは、攻撃者が同じギャップを見つけたとき、防御側に残される時間の短さです。
同じ圧力は、関連する理由からエンタープライズの側でも高まっています。企業自身が、意図してエージェント型AIを導入し始めているからです。エージェント型システムは、固定された経路をたどるのではなく、状況に応じて適応するループを通じてツールを呼び出し、データに触れ、ワークフローを起動します。まさにこの性質が、結果の予測・追跡・制御を難しくしています。エージェント型AIにおけるガバナンスギャップの解消に関する当社のリサーチは、ガバナンスをこの自律性に対する制御層と位置付けており、TrendAI™はこれを「Agentic Governance Gateway」（英語）として実装を進めています。エージェントの発見とインベントリ化、行動の観測、行動の背後にある意図の理解、異常のフラグ付け、ポリシーの適用を担うものです。自社のエージェントをこのレベルで統制できる企業は、環境内に紛れ込んだ敵対的なエージェントを捕捉するうえでも、はるかに有利な立場に立てます。
推奨事項
自律的な実行は、弱点が露出してから悪用されるまでの時間を圧縮します。以下の優先事項は、この種の攻撃が連鎖的に悪用するギャップを塞ぐ順に並べています。
防御担当者向け：
- 挙動・テクニックベースの検知を優先する。 アプリケーションサーバがペイロードをデコードする子プロセスを生成した場合、そのホストから一定間隔のビーコンが発信された場合、そして構成テーブルへの大量のAES_ENCRYPT()実行に続いて同一オブジェクトへのDROPが発生した場合に、アラートを発報するようにします。
- インターネットに公開されたAI・自動化プラットフォームにパッチを適用し、棚卸しする。 すべてのLangflowインスタンスが1.3.0以降にアップグレードされていることを確認し、公開されたままの未修正インスタンスは、現に進行中のリスクとして扱います。
- デフォルトのまま、または長期間変更されていないシークレットをローテーションする。 Nacosのtoken.secret.keyのような出荷時の署名鍵を差し替え、minioadmin:minioadminのようなデフォルトのサービス認証情報を一掃します。本オペレーションでは、デフォルトかつ未ローテーションの認証情報が、2つの異なる段階を成立させていました。
意思決定者向け：
- AIシステムに最小エージェンシー（least-agency）の原則を適用する。 エージェントや自動化プラットフォームには必要最小限のアクセスのみを与え、他のシステムとのやり取りを監視し、影響の大きいアクションには承認を必須とします。
インシデント対応担当者向け：
- 構成ストアとメタデータストアについて、オフラインかつ改変不可能なバックアップを維持する。 本オペレーションは、書き込みアクセスを持つ攻撃者に対して、データベース内のバックアップが無力であることを示しました。
- トリアージの間、エージェントの自己解説は未検証の情報として扱う。 インラインのコメントは有用な出発点ですが、本事例が示したとおり、その一部は虚偽です。
TrendAI™による保護
TrendAI Vision One™ Cyber Risk Exposure Managementは、未修正の公開プラットフォームやデフォルト認証情報など、エージェント主導の侵入が連鎖的に悪用するエクスポージャーを継続的に可視化し、優先順位付けします。本オペレーションで悪用された脆弱性は、事例が表面化するはるか前から、ネットワーク層とワークロード層にわたってTrendAI™の保護でカバーされていました。
TrendAI™ TippingPoint™
Filter 45744: HTTP: Langflow Code Injection Vulnerability
TrendAI™ Deep Discovery™ Inspector
Rule 5411: CVE-2025-3248 - LANGFLOW RCE - HTTP (Request)
TrendAI™ Deep Security および TrendAI Vision One™ Server and Workload Protection (SWP)
Rule 1010971:** Alibaba Nacos AuthFilter Authentication Bypass Vulnerability (CVE-2021-29441)
本オペレーションはファイルベースの痕跡を残さなかったため、残る部分は、挙動レベルの検知と、本記事の推奨事項セクションに記載したハンティングクエリが担います。
TrendAI Vision One™ Threat Intelligence Hub
TrendAI Vision One™ Threat Intelligence Hubは、新たな脅威や攻撃者に関する最新のインサイト、TrendAI™ Researchによる独自の戦略レポート、そしてTrendAI Vision One™プラットフォームで提供されるTrendAI Vision One™ Threat Intelligence Feedを提供します。
Emerging Threats（新たな脅威）:
JADEPUFFER: Agentic ransomware for automated database extortion（JADEPUFFER：データベースの自動恐喝を狙うエージェント型ランサムウェア）
TrendAI Vision One™ Intelligence Reports (IOC sweeping)
JADEPUFFER: Agentic ransomware for automated database extortion（JADEPUFFER：データベースの自動恐喝を狙うエージェント型ランサムウェア）
TrendAI Vision One™のお客様は、この活動に関連する痕跡を取得し、自社環境全体に対して遡及的なスイープを実施できます。
TrendAI Vision One™ XDR Data Explorer App
TrendAI Vision One™をご利用のお客様は、XDR Data Explorer Appを使用して、本ブログ記事で取り上げた不正な痕跡を自社環境内のデータと突き合わせ、ハンティングに活用できます。
Langflowプロセスからのエクスプロイト後のサブプロセス実行：
eventSubId:2 AND parentFilePath:(*langflow*) AND processCmd:(*base64* OR *curl* OR *wget* OR *crontab*)
既知のJADEPUFFER C&Cインフラへのネットワーク接続：
eventId:3 AND eventSubId:(201 OR 204) AND dst:("45.131.66.106")
Threat Intelligence Hubのエンタイトルメントを有効化しているTrendAI Vision One™のお客様は、さらに多くのハンティングクエリを利用できます。
侵入の痕跡（IoC: Indicators Of Compromise）
本オペレーションでは、ファイルハッシュの痕跡は生成されませんでした。すべてのペイロードが、配布されたバイナリではなく、悪用されたインターフェースを通じて送り込まれたインラインコードだったためです。以下のネットワーク痕跡は、注意して読み解いてください。2件はエージェント自身による未検証の自己申告であり、1件は攻撃者のインフラではなく、公開されているプレースホルダーです。
参考記事
The Signs Were There: What the First Autonomous Ransomware Case Confirms
By Jacob Santos, Senior Threat Researcher
翻訳：与那城 務（Platform Marketing, TrendAI Research）