JadePuffer詳解｜Sysdigが確認した初のLLM完全自律ランサムウェアとLangflow脆弱性の全貌

「ランサムウェアを動かすのに、もうスキルは要らなくなった。AIエージェントを起動してターゲットを渡すだけだ」。2026年7月7日、Sysdigのレポート（7月4日公開）から3日後にセキュリティエンジニアがBluesky上に投稿したこの言葉が、1,200件以上リポストされた（Sysdig Threat Research Team, 2026年7月4日）。

クラウドセキュリティ企業Sysdigの脅威調査チームが、史上初となるLLM完全自律型ランサムウェア攻撃の詳細を公開した。「JadePuffer」と名付けられたこの攻撃者（Sysdigはこれを「Agentic Threat Actor：ATA」と呼ぶ）は、AIエージェントがターゲット偵察から暗号化・身代金要求文生成まで全フェーズを人間の介入なしに実行した。個々の技術は既知のものだ。新しいのは、それをモデルが自力で組み合わせたという一点にある。

JadePuffer攻撃の全フェーズ — エージェントが何をしたか

Sysdigが公開した分析によれば、JadePufferの攻撃チェーンは次の6段階で構成される（Sysdig, 2026年7月4日）。

フェーズ1: 初期侵入 インターネット公開されたLangflowインスタンスに対して、CVE-2025-3248を悪用。認証不要のエンドポイント /api/v1/validate/code に任意のPythonコードを送信し、サーバー上で実行させた。侵入後すぐにLangflowのPostgreSQLデータベースをダンプし、ホスト情報、環境変数、認証情報ファイルを収集した。

フェーズ2: 横展開（Lateral Movement） 取得したroot認証情報を使い、LangflowサーバーからAlibabaのNacos（命名・設定サービス）が稼働する本番MySQLサーバーへピボット。MinIOオブジェクトストアも列挙した。

フェーズ3: 持続化・権限昇格 crontabエントリを作成し、30分ごとにC2（Command and Control）サーバー（ポート4444）へビーコンを送信。この持続化処理はエージェントが自律的に実装した。

フェーズ4: データ暗号化・破壊 Nacos上の1,342件のサービス設定アイテムを暗号化し、元データを削除。暗号化キーはランダム生成後に1回だけ出力され、保存・送信はされなかった。つまり攻撃者自身もキーを持っておらず、身代金を払っても復号は不可能な設計だ。

フェーズ5: 身代金要求文の自動生成 README_RANSOM というテーブルを作成し、要求文、Bitcoin支払いアドレス、Proton Mailの連絡先を記載。この文書はLLMが自律生成した。

適応能力: 研究者が特に注目したのは、失敗時の自律修正だ。あるシーケンスではログイン失敗から31秒で修正された認証情報を試行、成功している。人間のオペレーターと同様にリアルタイムで戦略を修正した（BleepingComputer, 2026年7月）。

CVE-2025-3248 — Langflow開発者が知るべき脆弱性の核心

JadePufferの侵入口となったCVE-2025-3248は、2025年4月に開示されたLangflow（LLMアプリを視覚的に構築できるオープンソースフレームワーク）のクリティカル脆弱性だ。共通脆弱性評価システム（CVSS）スコアは最高水準の9.8（NVD, 2025年）。

脆弱性の仕組み: Langflow 1.3.0未満の /api/v1/validate/code エンドポイントは認証が不要で、入力検証もサンドボックスもなかった。攻撃者は細工したPOSTリクエストを送るだけで、サーバー上でPythonコードを直接実行できた（Horizon3.ai, 2026年）。

パッチ済みバージョン: Langflow 1.3.0でポスト関数に _current_user: CurrentActiveUser パラメータを追加し、認証要件を実装済み。

現実の脅威: JadePuffer以前にも、このCVEはFlodrix Botnet配布に悪用されていた（Trend Micro, 2025年）。脆弱な旧バージョンがインターネット公開されたまま運用されているケースが今なお存在する。

LangflowをDockerやクラウドで動かしている開発者は、まず langflow --version で確認し、1.3.0未満であれば即座にアップデートが必要だ。

JadePufferの「自律性」論争。LLMランサムウェアの実態をTechCrunchと検証

JadePufferへの報道は一色ではなかった。TechCrunchは「The ‘first’ AI-run ransomware attack still needed a human」という見出しで批判的な分析を掲載した（TechCrunch, 2026年7月6日）。

SysdigのMichael Clarkが認めているように、人間のオペレーターは存在した。標的の選定とC2インフラの構築は人間が行っている。Microsoftの研究者Geoff McDonaldは「フロンティアモデルのセーフティ層は今も機能している。使われたのはおそらくセーフティトレーニングを除去したオープンウェイトモデルだろう」と推測している。

ただし批判の要点をそのまま「大したことはない」と解釈するのは早計だ。重要なのは攻撃実行フェーズの分断化だ。

従来型ランサムウェア攻撃では、熟練したオペレーターが偵察→侵入→横展開→暗号化の各ステップを手動で判断・実行し、数時間から数日を要した。JadePufferのエージェントはこれを短時間で完結させ、失敗時に自律的に修正した。Sysdigはこれを「攻撃スキルの参入障壁の劇的な低下」と表現した（Dark Reading, 2026年7月）。

「問題は誰がボタンを押したかではなく、1回ボタンを押せば後は自動で動く攻撃チェーンが存在するという事実だ」。Cloud Security Allianceの研究ノートはこう結論づけている（CSA Lab Space, 2026年7月）。

AIエージェント時代のセキュリティ：開発者・企業が今すぐすべきこと

JadePufferの示唆は技術的な対処に留まらない。AIエージェントを組み込んだ開発スタックそのものが新たな攻撃面になるという構造変化だ。

即時対処: Langflow利用者向け

• Langflow 1.3.0以上へのアップデート（パッチ適用済み）
• /api/v1/validate/code エンドポイントをVPN/IP制限で保護
• 本番環境をインターネット公開しない（開発用LangflowをPublicにしたまま忘れるケースが多い）
• Nacos、MinIOなどのサービス設定管理ツールに最小権限と認証を設定

AIエージェント全般のセキュリティ原則 IBMの2026年X-Force脅威インデックスは、AIエージェントのプロンプトインジェクション対策が「最大の未対処リスク」と位置づけている。企業でAIエージェントを展開している場合、以下を優先すべきだ（IBM, 2026年2月）。

1. 最小権限の徹底: エージェントが本番DBへの書き込み権限を持つ設計は避ける
2. ネットワーク分離: LangflowなどのAIフレームワークを本番インフラから論理的に分離する
3. サプライチェーン監査: オープンソースのAIフレームワークは脆弱性の温床になりやすい。依存関係を定期的にスキャンする
4. 異常検知の実装: AIエージェントが予期しない外部接続やファイル操作を行った場合のアラート設定

JadePufferが暗号化したのは今回Nacosの設定データのみだったが、LangflowからアクセスできるPostgreSQLには顧客データが含まれうる。データ侵害と設定破壊が組み合わされば、被害は格段に大きくなる。

光と影 — AIエージェントはセキュリティの敵か味方か

JadePufferはAIエージェントの脅威面を明確にした。だが同じ技術が防御側でも機能する。

脅威側: スキルが低い攻撃者がエージェントを利用して高度な攻撃チェーンを実行できる。IBMの2026年X-Force脅威インデックスによれば2025年のAI支援侵入が前年比340%増加した（IBM, 2026年2月）。日本IPAの「情報セキュリティ10大脅威2026」では「AIの悪用によるサイバー攻撃」が組織部門で3位に初ランクインした（IPA, 2026年）。

防御側: 同じAIエージェント技術はSOC（Security Operations Center）の脅威検知効率化にも活用されている。Sysdigは今回の事例を「危機」ではなく「警告」と呼んだが、この分類は今のうちにしか使えない。

現実のセキュリティエンジニアの声を借りれば: 「JadePufferは、放置されたインターネット公開サーバーを狙う既知攻撃を自動化しただけだ。今すぐすべきことは、基本的なパッチ適用とポート管理の徹底で、AIが特別に怖いわけじゃない」（SecurityWeek コメント欄より、2026年7月）。だが「基本が守れていない環境」が今後のATAの主要標的になるという点では研究者の見立ては一致している。

関連記事

• Agentjacking完全解説｜偽SentryエラーがClaude CodeとCursorを乗っ取る仕組み
• VS Code拡張機能の脆弱性まとめ｜Live Server・Code Runnerの対策
• AIエージェント業務自動化ガイド｜実装パターンとリスク管理
• Anthropic×AlibabaDエンジニアによるClaude蒸留攻撃の全貌

---

免責事項: 本記事は情報提供を目的としており、特定のセキュリティサービスや製品の推薦・投資助言を目的とするものではありません。記事内の技術情報はSysdig、BleepingComputer、TechCrunchなど第三者公開情報に基づいており、調査結果の詳細はSysdigの原文レポートを参照してください。CVE-2025-3248の対処については公式のLangflowリリースノートおよびNVDの情報を最終確認としてください。記事内容は2026年7月9日時点の公開情報に基づいており、以降に更新された情報がある場合があります。