9月18日、Cyber Security Newsが「AI Agents Now Run Ransomware Attacks End-to-End Without Human Operators」と題した記事を公開した。この記事では、AIエージェントが人間のオペレーターなしにランサムウェア攻撃を計画から実行・恐喝まで完結させた事例について詳しく紹介されている。なお、本記事末尾にはセキュリティ担当者向けにIoC（侵害指標）一覧も掲載している。

人間なしで完結したランサムウェア攻撃「JADEPUFFER」

セキュリティ企業SOCRadarが追跡したキャンペーン「JADEPUFFER」は、AIエージェントが目標とツールを与えられただけで、コマンドの実行・結果の読み取り・アプローチの修正・恐喝の継続を自律的に行った事例だ。人間がその行動を承認した痕跡は確認されていない。

侵入口となったのはCVE-2025-3248——Langflow（オープンソースのAIワークフロー構築ツール）のコード検証エンドポイントに存在する認証バイパスの脆弱性だ。未認証の攻撃者が脆弱なホスト上でPythonを実行できるため、インターネットに露出したデプロイは即座に攻撃対象となる。

侵入後、エージェントはクラウドキー・API認証情報・ウォレットシードフレーズ・データベース設定を検索。デフォルト認証情報が設定されたまま放置されていたMinIOサービスを発見し、定期的なアクセス経路を確立。さらに同ホストの情報を利用してMySQLおよびAlibaba Nacosサービスへ横断した。

特筆すべきは速度だ。エージェントは失敗したログインを31秒で自己修正し、Nacosの公開デフォルト署名キーを使ってトークンを偽造、バックドア管理者アカウントを挿入した。最終的に1,342件の設定レコードを暗号化してオリジナルテーブルを削除し、身代金要求を残した。

圧縮された時間内に600を超える目的指向のペイロードが確認されており、自然言語のコメントで各アクションを説明しながらセッション間でコンテキストを保持していた——これがAIエージェントによる実行と判断された根拠だ。

▲ランサムウェアの4つの運用モデル（出典：SOCRadar）

AI資産を狙う「ENCFORGE」の登場

JADEPUFFERキャンペーンの実行フェーズにおいて展開されたのが、ENCFORGEと呼ばれるロッカーモジュールだ。ENCFORGEはJADEPUFFERというキャンペーン全体の中でAIエージェントが呼び出す暗号化ツールとして位置づけられており、キャンペーン名とツール名は別物である点に注意されたい。

ENCFORGEはAI・機械学習環境を対象とした約180種類のファイル拡張子を狙う設計だ。具体的なターゲットはモデルのチェックポイント、ベクターデータベース、埋め込みインデックス、学習データ。従来のバックアップ計画がカバーしていない資産を狙っている点が重要で、MLOpsを運用する組織にとって盲点になりやすい領域だ。

完全自律でなくても脅威は変わらない

SOCRadarが同レポート内で併せて調査・公開した別キャンペーン「FortiBleed」では、中間的な運用モデルも確認されている。14エージェントのフレームワークがエクスプロイト調査・検証ツール・攻撃プレイブックの構築を担い、実際の侵入は人間のオペレーターが行うという分業体制だ。FortiBleedはJADEPUFFERとは異なるキャンペーンだが、同じSOCRadarレポート内で「AIと人間の協調型」モデルの事例として報告されている。

完全自律か否かに関わらず、共通する変化は「攻撃に必要な時間と専門知識が削減される」ことだ。エージェントはコマンドが失敗しても継続し、大量の情報を処理し、業務時間外でも無停止で動作する。人間の攻撃者が犯しうるミスや露出リスクがない。

▲エージェント型ランサムウェアのキルチェーン（出典：SOCRadar）

防御側が取るべき対策

SOCRadarは以下の対策を推奨している：

• インターネットに露出したAIワークフロープラットフォーム・コード実行エンドポイント・管理パネル・データストアを特定する
• CVE-2025-3248を含む脆弱性を迅速にパッチ適用する（CISAもLangflowの脆弱性について警告を発している）
• デフォルト認証情報を除去し、強力な認証を必須とする
• APIキー・クラウド認証情報・データベースシークレットをWebアクセス可能な設定ファイルに置かない
• 侵害ホストからのアウトバウンド接続を制限し、送信元アドレスで管理アクセスを絞る
• 一定間隔で接続するスケジュールタスクや急速な反復コマンドを監視する
• バックアップにAI資産を含める——モデル、ベクターデータ、学習データセットのオフライン・イミュータブルなコピーを維持する

SOCRadarが強調するのは「AIがランサムウェアを発明したわけではない」という点だ。問題は、ちょっとしたセキュリティの失敗から破壊的な被害に至るまでの時間が大幅に縮まることにある。

IoC（侵害指標）一覧

以下はセキュリティ担当者向けに元レポートから抽出したIoCだ。IPアドレス・メールアドレスは誤クリック防止のため意図的にdefang（無害化）済みであり、MISP・VirusTotal・SIEMなど管理されたプラットフォーム内でrefangして使用すること。

詳細はAI Agents Now Run Ransomware Attacks End-to-End Without Human Operatorsを参照していただきたい。