7月21日、The Hacker Newsが「New ENCFORGE Ransomware Targets AI Model Files in Langflow RCE Attack」と題した記事を公開した。新型ランサムウェア「ENCFORGE」が、LangflowのRCE脆弱性（CVSS 9.8）を入口にAIモデルの重みや訓練データを直接暗号化するという、これまでにない攻撃手法が確認された。モデルの再構築コストは1モデルあたり最大50万ドルと推計されており、AIインフラを保有する組織にとって無視できないリスクだ。

AIインフラを狙い撃ちにする設計

ENCFORGEが既存のランサムウェアと一線を画すのは、AIインフラを明確に意識した暗号化対象リストを持っている点だ。

デフォルトの対象拡張子は約180種類に及び、以下が含まれる：

• PyTorch・TensorFlowのチェックポイントファイル
• Hugging FaceのSafeTensors形式
• ONNX（モデル交換フォーマット）
• GGUF／GGML（ローカルLLMのデプロイで広く使われる形式）
• FAISSベクターインデックス
• Parquet・Arrowの訓練データセット
• NumPy配列、TensorFlowレコード

さらに--includeフラグで追加の対象を指定でき、内部のヘルプテキストにはLoRAファインチューニングアダプターや旧GGML形式が例示されている。Sysdigの研究者は「汎用のファイルロッカーがLoRAアダプターを名指しする理由はない。AIインフラへの意図的な標的指定だ」と判断している。

暗号化方式はAES-256-CTRで、ファイル全体ではなく選択的な領域のみを暗号化することで処理速度を高めている。LockBitやBlackCatでも採用されている手法だ。バイナリはUPX 5.20でパックされたGo 1.22.12製の静的ELFで、解析時点では主要な脅威インテリジェンスプラットフォームでの検出はゼロだった。

侵入経路：CVE-2025-3248（CVSS 9.8）

入口は1か月前から変わっていない。Langflow 1.3.0未満に存在するCVE-2025-3248で、認証なしに/api/v1/validate/codeエンドポイントへアクセスでき、任意のPythonコードをリモート実行できる。CISAのKEVカタログには2025年5月5日から登録されている。

Sysdigはこの攻撃を、今月初めに報告済みのAIエージェント型攻撃者「JADEPUFFER」によるものと特定した。前回のオペレーションではNacos（Alibabaの設定管理サーバー）や本番データベースを標的にしていたが、今回は同一サーバーへの再侵入でENCFORGEをデプロイした。

Dockerソケットを経由したホスト侵害

攻撃者はコンテナ内でコード実行を確認後、/var/run/docker.sock（Dockerソケット）を発見した。当初のENCFORGE取得（GCPのC2サーバーから）が失敗すると、5分24秒の間に6本のPythonスクリプトを試行・修正してホスト侵害の経路を開拓した。

手口の巧妙さが際立つのは以下の点だ：

• 最初のスクリプトは1行ずつ送信し、シグネチャ検査を回避
• 2本目以降はスクリプト全体をBase64エンコードしてexec()で実行、base64 -dコマンドのシェルレベル検索を回避
• 最終版はDocker APIで特権コンテナ（Privileged: true、PidMode: host、ホストルートファイルシステムをread-writeでバインドマウント）を起動し、nsenter経由でホスト上のENCFORGEを実行

本番実行前には--try-runでファイルシステムをスキャンし、その後--lockで暗号化を実施。完了後はバイナリが自己削除する。

被害規模の推計と攻撃者の経済的動機

Sysdigは、本番AIモデルの再構築コストを1モデルあたり7万5,000〜50万ドルと推計している。共有ストレージ上に複数のモデルバリアントが存在する場合、1回の実行で全てが暗号化される。訓練データが同一ホストにあれば、再訓練の前にそのデータ復元も必要になる。

攻撃者がAIインフラを狙う理由は、この「身代金の吊り上げやすさ」にある。汎用サーバーのファイルと異なり、大規模モデルの重みは数百GB〜数TBに達し、バックアップ体制が整っていないケースも多い。さらにLLMの再訓練には計算コストと時間の両方がかかるため、「払った方が安い」という判断を組織に迫りやすい構造だ。ENCFORGEがLoRAアダプターやGGUF形式を名指しで狙うのは、それらがプロダクション環境で実際に稼働しているモデルであり、停止コストが極めて高い資産だからだと考えられる。

ENCFORGEが持つ身代金要求機能としては、README・HOW_TO_DECRYPT・README_DECRYPTファイルの生成と、連絡先メールアドレス（e78393397@proton.me）の埋め込みがある。ただしネットワーク通信機能やデータ持ち出し機能は一切持たない。前回キャンペーンと同一のProtonMailアドレスが使われており、Sysdigはこれを両オペレーション間の最も強力な帰属リンクと判断している。

対策：パッチ適用と構成見直しの両輪が必要

Sysdigが推奨する対策は以下のとおり：

• Langflowを1.9.1以降にアップグレード。CVE-2025-3248はv1.3.0で修正済みだが、その後もCVE-2026-33017（v1.9.0で修正済み。詳細はKEVカタログ参照）、CVE-2026-55255（v1.9.1で修正済み。同じくKEV登録済み）がKEVに追加されており、いずれもLangflowの認証・実行制御に関わる脆弱性だ。パッチ未適用のままでは複数の経路が同時に開いている状態になる
• 既にLangflowが侵害されていた場合、AIプロバイダーキー・クラウド認証情報・DBシークレットをローテーションする（パッチ適用で収集済み認証情報は無効化されない）
• /var/run/docker.sockをLangflowコンテナから切り離す。標準的なデプロイでDockerソケットへのアクセスは不要
• Privileged: trueやPidMode: hostのコンテナ起動、コンテナ内からのnsenter実行にアラートを設定
• モデルの重み・ベクターインデックス・訓練データをオフラインまたはイミュータブルなスナップショットで保護し、.lockedファイルの大量生成を監視する

YARAルール、埋め込みRSA-2048鍵のフィンガープリント、C2アドレス、バイナリのSHA-256ハッシュといったIOC（侵害指標）の完全なリストはSysdigのフルレポートに掲載されている。

詳細はNew ENCFORGE Ransomware Targets AI Model Files in Langflow RCE Attackを参照していただきたい。