何が起きたか
Sysdigの研究者は、AIエージェントが侵入から認証情報の窃取、横展開、暗号化、身代金要求文の作成までを一貫して実行したケースを「JadePuffer」と名付け公開しました。攻撃はLLMアプリ構築用のオープンソースツールLangflowの既知の脆弱性を突いて侵入し、本番のMySQLサーバへ移動して別の既知脆弱性から管理者権限を奪取、1,300件超の設定レコードを暗号化してBitcoin送金先を含む独自の身代金要求文を残した、という流れです。
「無人攻撃」ではない
当初は「キーボードの前に人間はいない」「人的監視なし」と報じられましたが、SysdigのMichael Clark氏はTechCrunchに対し、標的の選定、C2サーバや窃取データのステージング用インフラの用意、初期侵入に用いた認証情報の入手はいずれも人間が担ったと訂正しています。データベース侵入に使われた認証情報はエージェントが取得したものではなく、別ルートの事前侵害で得たものを渡していました。
何が新しく、何が新しくないか
技術自体は目新しくありません。注目すべきは実行の速度と透明性です。エージェントはログイン失敗を31秒で修正し、自らの推論を自然言語のコードコメントとして書き出しながら作業を進めました。Langflowホストではプロバイダ製APIキー、クラウド認証情報、暗号資産ウォレット、DB設定を無差別に収集しています。Clark氏は当初「OpenAI、Anthropic、DeepSeek、GeminiのAPIキーが使われた」と説明しましたが、後にこれは「エージェントが盗んだ戦利品」であり、どのモデルが判断していたかを示すものではないと訂正しました。
誰が動かしていたのか
駆動モデルは特定できておらず、システムプロンプトや構成の可視性もありません。MicrosoftのGeoff McDonald氏はLinkedInで、フロンティアラボの安全層は堅牢であるとするレッドチーム経験から、「安全訓練を剥がしたオープンウェイトモデル」が背後にあると推測しています。ただしSysdigはこの説を肯定も否定もしていません。
スケーラビリティの論点
McDonald氏は「攻撃はもはや人間の労力ではなく攻撃者の予算だけで制約される」と警告し、同時並行で数千〜数万件のキャンペーンが走る可能性を示唆しています。ただし、標的選定・インフラ調達・DB認証情報の事前入手が依然として人間の仕事である以上、この「無限スケール」像はClark氏の説明と噛み合わない部分があります。
💼 事業会社視点：これは自社にどう効くか
「AI攻撃時代」への過剰反応と、本当に効く打ち手
日本の事業会社が今回のニュースで注意すべきは、「AIが全自動で攻撃してくる」という煽りに乗って対策の優先順位を歪めないことです。JadePufferの侵入経路はLangflowとMySQLの既知脆弱性であり、初期認証情報は別ルートの事前侵害から供給されました。つまり被害の入口は従来型で、AIは「実行の高速化」を担ったに過ぎません。
特にSaaS・受託開発企業の経営層は、社内でLangflowやDify、n8nといったLLMアプリ構築ツールを検証環境で放置していないかを即棚卸しすべきです。生成AI活用の実験でPoC用ホストが野良サーバ化しているケースが多く、ここが本番DBへの踏み台になります。
ECや自社SaaS運営企業は、プロバイダAPIキー・クラウド鍵・DB設定を同一ホストに同居させない運用へ舵を切る必要があります。今回エージェントが「価値ある戦利品」として一括収集したのはまさにこの組み合わせでした。CISOではなくCEO・COOレベルで、鍵管理の分離とSecrets Managerへの集約を今四半期の意思決定として通すべき局面です。