史上初のエージェント型ランサムウェアが記録された日、サイバーセキュリティの脅威モデルが変わる

何があったのか

Sysdigの脅威研究チームは、2026年6月末に検知された攻撃キャンペーンを分析し、7月1日付でレポートを公開した。攻撃はまず、インターネットに公開されていたLangflow（LLMアプリケーションと エージェント型ワークフローを構築するオープンソースフレームワーク）の未修正脆弱性CVE-2025-3248を悪用して初期アクセスを獲得した。そこから、クラウドおよびLLMプロバイダの認証情報を収集し、内部サービスをマッピングし、2021年の認証バイパスを利用して本番環境のMySQL/Alibaba Nacos設定管理サーバに水平移動した。最終的に1,342件のNacos設定項目を暗号化し、元のテーブルを削除、Bitcoinでの支払いを要求する恐喝メモを残した。ただし、生成された暗号化キーは保存も送信もされなかったため、被害者が身代金を支払っても復旧は不可能な状態となっている。

なぜこれが史上初とされるのか

Sysdigが最も強調するのは、暗号化そのものではなく、LLMが失敗を観察し、方法を修正し、自律的に継続した点である。攻撃の中でJadePufferがNacosに管理者バックドアアカウントを作成しようとしてログインに失敗した際、31秒後には修正済みのペイロードを展開した。修正内容はbcryptハッシュの生成方法を変更し、壊れたアカウント行を削除、動作する管理者アカウントを再挿入し、アクセスを検証するものだった。他にも、MinIOで期待していたJSON応答がXMLで返ってきた際にパース処理を変更するなど、複数の適応的な瞬間が観察された。さらに、600以上のペイロードコードには、エージェント自身の推論プロセスを説明する自然言語のコメントが付されていた。これは人間の攻撃者があまり書かないもので、LLM生成コードに特徴的なパターンである。SysdigはMichael Clark脅威研究ディレクターの言葉として、キーボードの前の人間ではなくモデル自身の意思決定でエンドツーエンドに駆動された攻撃と評している。

従来型ランサムウェアとの比較

攻撃の技術的アーキテクチャ

JadePufferの攻撃対象となったLangflowのCVE-2025-3248は、認証欠如によるリモートコード実行の脆弱性である。この初期侵入経路は皮肉にも、LLMエージェント構築用のフレームワーク自体が入口となった構造で、AI技術の攻撃と防御が同じインフラの上で交錯する象徴的な事例となった。侵入後の攻撃チェーンは、認証情報の収集、内部ネットワークのマッピング、MySQL/Nacosへの水平移動、権限昇格、データ暗号化と削除、恐喝メモの設置という、従来のランサムウェアと同じ工程をたどる。ただし、これらの各工程がLLMエージェントの動的判断で実行されている点が本質的な違いである。SysdigはJadePufferの背後にある人間の関与を完全には否定しておらず、後続の報道では、標的の選定、インフラのプロビジョニング、事前に侵害されたMySQL rootクレデンシャルの提供は人間が行った可能性が指摘されている。それでも、攻撃実行フェーズがLLMに委譲された初の記録例であることは変わらない。

何が起きたか、業界の反応

Flashpointの2026 Global Threat Intelligence Reportは、AI関連の不正活動が前年比1,500%増加したと報告している。Malwarebytesは2026年初頭に、自律型ランサムウェアパイプラインが年内に成熟し、個人オペレーターが複数の標的を同時攻撃する規模がこれまでを超える可能性を予測していた。JadePufferはこの予測を実証したケースと位置付けられている。ただし、独立サイバーセキュリティ研究者Vibhum Dubey氏は、根本的に新しい技術ではなく実行の進化であると指摘している。

この脅威が広がると何が起きるか

第1に、防御側の時間的余裕が構造的に消滅する。Fenix24の共同創業者兼CISOであるHeath Renfrow氏は、経験豊富なオペレーターが数時間かけていた工程がAIエージェントによって数分に圧縮されると、検知、封じ込め、復旧の全フェーズで防御側は時間を失うと指摘している。第2に、攻撃者のスキル要件が大幅に下がる。従来はダークウェブでランサムウェアツールキットを購入する必要があったが、LLMエージェントに攻撃工程を委譲できるようになると、参入障壁が実質的に消える。第3に、身代金交渉の前提が変わる可能性がある。JadePufferの事例では暗号キーが保存されず、支払っても復旧不可能な状態だった。エージェントが目的関数を単に破壊と設定していれば、恐喝は形式的で本質は破壊工作となる。第4に、防御側のAI導入が急務となる。ヒトのスピードで対応するSOC（セキュリティオペレーションセンター）は、AIエージェントの攻撃速度に構造的に追いつけないため、SOAR（Security Orchestration, Automation and Response）やAI駆動型の脅威検知への投資が加速するとみられる。

関連企業と市場動向

サイバーセキュリティ、AI防御プラットフォーム、バックアップ・リカバリの3領域で関連企業が広がる。

投資視点では、エージェント型ランサムウェアの登場は、AIを活用した防御プラットフォームへの需要を構造的に押し上げる要因になる可能性がある。特にイミュータブルバックアップとテスト済みの復旧手順の重要性が高まっている。Sysdigは、JadePufferの被害者は身代金を支払っても復旧できないため、侵害されたアプリケーションサーバから到達不可能で改ざん不可能なバックアップが唯一の耐性ある姿勢だと指摘している。この文脈で、Rubrikのようなイミュータブルバックアップ専業と、CrowdStrikeやSentinelOneのようなAI駆動型エンドポイント防御の組み合わせが標準的な防御ポスチャとなる可能性がある。

課題と今後の展望

JadePufferの事例は、被害者、法執行機関、他のセキュリティ企業からの公式確認が得られていないため、Sysdigの報告に依拠する部分が大きい。この点は、脅威インテリジェンス業界の慣行として珍しくないものの、独立検証の余地は残る。技術的な観点では、LLMエージェントによる攻撃はコスト構造も変える可能性がある。LLM API呼び出しコストが低下し続ければ、大量の標的を並行攻撃するパイプラインが経済的に成立する。防御側の課題としては、Langflowのような公開されているLLMインフラの適切な認証設定、シークレット管理、データベース権限の最小化、Nacosのような設定管理サーバの露出削減、そして侵害後の適応的な挙動を検知する振る舞い監視の導入が挙げられる。将来的には、攻撃側のLLMエージェントと防御側のLLMエージェントが、ミリ秒単位で攻防を繰り広げる時代が到来する可能性がある。その時、ヒトの役割は個々の攻撃の検知や封じ込めではなく、防御AIエージェントの設計、監査、ポリシー設定に移るとみられる。JadePufferが史上初とされる時代は、おそらく数年で大量発生の時代へと変質する可能性があり、サイバーセキュリティ業界は構造的な再設計を迫られる局面に入りつつある。