何が起きたか
Sysdigは、人間の指示なしにAIエージェントが完結させた恐喝型攻撃を確認し、これを「JADEPUFFER」と命名、「エージェント型脅威アクター(agentic threat actor)」と表現しました。侵入経路はAIアプリ構築ツールLangflowの既知脆弱性CVE-2025-3248。認証なしでサーバ上のコード実行を許すもので、Langflowは2025年4月に修正パッチを提供し、米CISAも悪用中の脆弱性リストに追加していましたが、被害組織はパッチを当てていませんでした。
エージェントは最初のサーバから横展開し、認証情報を収集、永続的アクセスを確立した上で、本命である別のMySQL本番データベースへ到達。1,342件の設定エントリを暗号化し、元テーブルを削除、Bitcoinの支払いとProton Mailの連絡先を記した身代金要求文を残しました。
なぜ「AI単独」と判定できたのか
Sysdigが人間の関与を否定する根拠として挙げたのが、管理者アカウント作成に失敗した際の挙動です。エージェントはわずか31秒後にエラーを診断し、壊れたアカウントを削除して正常なものを作り直す修正コマンドを送りました。加えて生成コードには「なぜこのDBを先に消したいか」を説明する自然言語コメントが埋め込まれていた——これは人間の攻撃者ではまず見られず、AIモデルが反射的に行う癖だとされます。
皮肉な「詰めの甘さ」
この攻撃は完成度こそ高い一方、実利面では破綻していました。復号キーは一度画面表示されただけで保存・送信されておらず、身代金を払っても復旧は不可能。ランサムノートに記載されたBitcoinアドレスは開発者向けドキュメントの「サンプル用アドレス」そのもので、学習データから引きずり出されたものとみられます。
何が新しいのか
個々の手法——既知脆弱性の悪用、デフォルトパスワードの突破、認証情報の窃取——はいずれも目新しくありません。新しいのは、AIモデルがそれらを自律的に連鎖させ、恐喝オペレーション全体を一人で完遂した点です。ランサムウェアの実行コストが「AIエージェントを走らせる料金」まで下がる、という意味を持ちます。
なお本件は被害者・法執行機関・他のセキュリティ企業からの独立検証はまだ得られておらず、Sysdig自身が自動化攻撃検知製品を販売している点は差し引いて読む必要があります。
💼 事業会社視点：これは自社にどう効くか
日本企業の役員が最初に確認すべきは、「AIツール由来の内製資産」にパッチ運用が回っているかどうかです。今回の侵入口Langflowは、事業会社の情報システム部門やDX推進室が社内でPoC用に立てているケースが増えていますが、CISAが警告済みの脆弱性が半年以上放置されていた事実は、こうしたシャドーAI環境の典型的な穴を示しています。
特に受託開発・SaaS事業者は、顧客に納品したAIアプリ基盤の脆弱性管理責任がどこにあるかを契約書レベルで再確認すべきです。EC事業者であれば、決済DBやCRMへの「特権アクセス経路」がAI推論サーバ経由で開いていないかを棚卸しする局面にあります。
Keeper Securityの調査で「組織の72%が認証情報の悪用をリアルタイム検知できない」とされる以上、Barney氏が挙げた時間制限付きの特権付与・シークレット金庫化・セッション監視は、CISO任せでなく経営会議で予算化する案件です。攻撃コストがAI利用料まで下がるなら、「うちは狙われるほど大きくない」という論法は今年で通用しなくなります。