そもそも「エージェント型ランサムウェア」とは何か
前提を揃えておく。従来のランサムウェアにおけるAI利用は、フィッシングメールの文面生成やマルウェアのコード補助といった「道具としてのAI」だった。判断し、手を動かすのはあくまで人間のオペレーターである。
これに対してエージェント型(agentic)は、LLMがツール実行の権限を持ち、環境からの応答を見て次の行動を自分で決める。コマンドを打ち、エラーを読み、修正し、再試行する——この観察・判断・実行のループが人間の手を離れて回る点が決定的な違いだ。JadePufferは、このループがランサムウェア攻撃の実行工程で実際に回った初の文書化事例とされる。だからこそ「初」の中身を精査する価値がある。
まず事実関係を整理する
Sysdigのレポートと各社の追加分析から、攻撃チェーンの再現度が高い部分をまとめると次のようになる。
攻撃者はまず、インターネットに公開されていたLangflow（AIワークフロー構築のオープンソースフレームワーク）のサーバーを、認証不要でリモートコード実行ができる脆弱性CVE-2025-3248経由で掌握した。ここを足場に、LLMエージェントが内部ネットワークの偵察を開始する。
横展開で使われた「穴」は3つ。設定管理ツールNacosの認証バイパス脆弱性CVE-2021-29441(CVSS 9.8)、オブジェクトストレージMinIOのデフォルト認証情報(minioadmin:minioadmin)、そして2020年から変更されていなかったNacosのデフォルトJWT署名キーである。エージェントはAWS・GCP・Azure・Alibabaなど複数プラットフォームの認証情報やAPIキーを体系的に列挙し、最終的にNacosの設定項目1,342件を暗号化して、ビットコインを要求する脅迫状を残した。
そして最も引用された数字が「31秒」だ。ログイン失敗を検知したエージェントが、自らペイロードを修正して再試行し、31秒後にログインに成功した。エラーからの自己修正をこの速度で回す攻撃を、人間のオペレーターは実演できない。
検証1:「人間ゼロ」は本当だったのか
初報の見出しの多くは「人間の介入なし」を打ち出した。だが、その後の検証報道で強調されたのは逆の事実だ。TechCrunchは追加取材を踏まえて「初のAI主導ランサムウェア攻撃には、それでも人間が必要だった」と報じている。
具体的に人間が担っていたとされるのは、少なくとも次の3点だ。
- 被害者の選定。どの組織を狙うかは、エージェントが探索の末に自分で決めたのではなく、人間のオペレーター側で選ばれていたと指摘されている。
- インフラの構築。エージェントを動かす基盤や攻撃用のインフラは、事前に人間が用意していた。
- 初期認証情報の供給。攻撃の起点となる認証情報の一部は、人間が盗み出して与えたものだった。
つまり、AIが担ったのは「実行フェーズ」だ。標的を決め、道具を揃え、鍵を渡すという戦略工程は依然として人間の仕事だった。「人間ゼロのランサムウェア」という理解は、1カ月後の現時点では正確ではない。
ただし、これは脅威の否定ではない。従来のランサムウェア・アズ・ア・サービス(RaaS)では、実行フェーズにこそ熟練オペレーターの人件費と時間がかかっていた。そこがLLMエージェントで代替可能だと文書で示されたことの意味は大きい。攻撃の単価が下がれば、これまで「割に合わない」とされてきた中小企業や個人が標的圏内に入ってくるからだ。
検証2: 裏付けはどこまで固いのか
2つ目の論点は、この事例そのものの証拠の強度である。1カ月経った今も、独立した第三者による裏付けは出ていない。
- 観測したのはSysdig 1社のみ。他のセキュリティベンダーからの追認報告は現時点で確認できない。
- 脅迫状に書かれたビットコインアドレスが、ビットコインの公式ドキュメントに載っている例示用アドレスと一致していた。攻撃者の実際のウォレットではなく、LLMのハルシネーション(もっともらしい捏造)である可能性が指摘されている。
- 暗号化に使われた鍵はランダム生成されて標準出力に表示されただけで、どこにも保存されていなかった。つまり身代金を払っても復号できない。「金銭目的の犯罪」として見ると設計が破綻している。
- データの持ち出し(窃取)が実際に行われたかは未確認。被害組織の名前も業種も復旧状況も公表されていない。
これらは「事例が嘘だ」という話ではない。侵入と暗号化のログは残っており、攻撃自体は起きたと見てよい。ただ、「脅迫までを完遂した犯罪として成立していたか」と問うと、かなり怪しい。鍵を保存し忘れ、例示用のビットコインアドレスを書き残すエージェントは、恐喝者としては未完成だ。JadePufferが示したのは「AIによる完全犯罪」ではなく、「未完成でもここまで動いてしまう」という実証である。
検証3: 破られた「穴」に新しさは1つもない
3つ目の論点が、実務者にとっては最も重要だ。攻撃チェーンを分解すると、突かれた穴はすべて既知の、しかも古典的な不備だった。
| 突かれた穴 | 内容 | 防げたか |
|---|---|---|
| CVE-2025-3248 | Langflowの認証不要RCE。パッチ公開済み | パッチ適用で防げた |
| CVE-2021-29441 | Nacosの認証バイパス。2021年公開、CVSS 9.8 | 5年前から防げた |
| MinIO | デフォルト認証情報のまま運用 | 初期設定で防げた |
| Nacos JWTキー | 2020年から未変更のデフォルト署名キー | 設定変更で防げた |
AIだから破れた穴は、この表の中に1つもない。5年前のCVEとデフォルトパスワードで落ちる環境は、人間の攻撃者にも同じように落とされる。JadePufferの本質は「AIが防御を突破した」ことではなく、**「放置されてきた基本的な不衛生を、AIが人間の何倍もの速度と網羅性で刈り取れるようになった」**ことにある。
唯一、質的に新しかったのが冒頭の「31秒」だ。エラーを見て、原因を推定し、ペイロードを書き換え、再試行する。このループを31秒で回す速度は、SOC(セキュリティ監視センター)のアナリストがアラートを開く前に攻撃が次の段階へ進むことを意味する。「検知してから人間が対応する」前提の防御体制は、この速度に構造的に間に合わない。
現場は何をすべきか。派手な対策より先にやる4つのこと
1カ月分の分析を踏まえると、JadePuffer対策として今やるべきことは、AI向けの新しいソリューション導入ではない。順番はこうだ。
- 公開面の棚卸し。Langflow・Nacos・MinIOなど、検証用に立てたまま忘れられたツールがインターネットに露出していないかを確認する。今回の起点はまさに「公開されたままのLangflow」だった。
- デフォルト認証情報とデフォルトキーの一掃。地味だが、今回の横展開はこれだけでほぼ止められた。
- 既知CVEのパッチ適用。CVSS 9.8が5年放置されていた事実が、そのままこの事件の「再現条件」である。
- 速度への備え。31秒で自己修正する相手に人間の初動は間に合わない。異常な認証試行やアウトバウンド通信を自動で遮断する仕組み(レートリミット、自動隔離)を、検知の「後段」ではなく「同時」に動かす設計へ寄せていく。
言い換えれば、上の3つは昨日までと同じ宿題であり、4つ目だけが新しい宿題だ。
まとめ:「人間ゼロ」はまだ来ていない。だが31秒は本物だ
検証の結論を整理する。
- 「完全自律」は言い過ぎだった。標的選定・インフラ・初期認証情報は人間が用意しており、AIが担ったのは実行フェーズである。
- 証拠の裏付けは1社観測のまま。ビットコインアドレスの捏造疑いや「復号不能な暗号化」など、犯罪としては未完成な痕跡が多い。
- 突かれた穴に新しさはなく、5年前のCVEとデフォルトパスワードで再現できる。一方で「31秒の自己修正ループ」だけは質的に新しく、人間前提の防御速度を無効化する。
1カ月前の空気に反して、「AIが勝手に会社を落としに来る時代」はまだ来ていない。来ているのは、「人間の攻撃者が、疲れず・迷わず・31秒で学習する実行部隊を雇えるようになった時代」だ。この差分を正確に見積もることが、過剰な恐怖とも根拠のない楽観とも距離を取る出発点になる。
次の類似事例は、おそらく鍵の保存を忘れない。検証済みのウォレットアドレスを書く。その「完成版」が観測されたとき、防御側の宿題が終わっているかどうか。JadePufferから1カ月というこのタイミングは、それを確かめる最後の猶予期間かもしれない。
参考情報: 本記事は、Sysdig脅威調査チームのレポート(2026年7月)、TechCrunchの検証報道、国内セキュリティ研究者による分析(piyolog等)をもとに、公開情報を突き合わせて構成した。個別の被害組織に関する情報は公表されていないため、攻撃チェーンの記述はSysdigの観測記録に依拠している。
