サイバーセキュリティ研究者らは、人間が介入せずに人工知能エージェントによってエンドツーエンドで実行される初のランサムウェア攻撃となる可能性のあるものを文書化したと述べており、この発見により、有害なサイバー攻撃を開始するのに必要なコストとスキルが大幅に削減される可能性があるとセキュリティ専門家は警告している。

Sysdig Threat Research Teamが発表し、The Hacker Newsが報じたこの調査では、大規模な言語モデルが侵入のあらゆる段階（侵入、資格情報の収集、ネットワーク内の横方向の移動、そして最終的には企業の実稼働データベースの暗号化と消去）を処理する操作について説明している。 Sysdig は、オペレーターに追跡名 JADEPUFFER を割り当てました。このストーリーの詳細については、現在進行中の AI トレンド をご覧ください。

ランサムウェアはこれまで、プロセスのどこかの時点で、攻撃を手動で実行するか、マルウェアが従うスクリプトを作成するかのいずれかで、熟練した人材を必要としていました。単一の AI モデルがこれらのステップを自律的に連鎖させることができれば、攻撃を実行するために必要な専門知識は、AI エージェントをレンタルする費用に相当します。

エージェントの侵入方法

エントリ ポイントは、すでにパッチが適用されている既知の脆弱性でした。 Sysdig によると、JADEPUFFER は、AI アプリケーションとエージェント ワークフローを構築するためのオープンソース ツールである Langflow の認証欠落の欠陥である CVE-2025-3248 を悪用しました。この欠陥により、サーバーにアクセスできる人は誰でも、ログインせずに任意の Python コードを実行できます。Langflow インストールは、頻繁にインターネット上に公開され、接続先サービスの API キーとクラウド認証情報を保持しているため、魅力的な標的となります。

この欠陥は Langflow 1.3.0 で修正され、2025 年 5 月に米国サイバーセキュリティ・インフラストラクチャセキュリティ庁の既知の悪用された脆弱性カタログに追加されましたが、多くのサーバーは更新されませんでした。中に入ると、エージェントは素早く動き、後片付けをしました。

資格情報の収集と横方向の移動

アクセスを取得した後、エージェントは侵害されたマシンをマッピングし、秘密を求めて一掃しました。 Sysdig によると、OpenAI、Anthropic、DeepSeek、Gemini などの主要な AI サービスの API キーに加え、アリババやテンセント、AWS、Google、Azure などの中国プロバイダーのクラウド認証情報も収集したとのことです。また、暗号ウォレットのキーとデータベースのログイン情報も盗まれました。

次にエージェントは、一度も変更されていない工場出荷時のデフォルトのログインを使用して MinIO ストレージ サーバーを襲撃し、30 分ごとに攻撃者のサーバーにアクセスするスケジュールされたタスクを追加することで永続性を確立しました。そこから、主なターゲットである、MySQL データベースと、マイクロサービス アーキテクチャで広く使用されている構成およびサービス ディレクトリである Alibaba の Nacos を実行する、インターネットに接続された別個のサーバーに方向転換しました。

root としてデータベースにログインした後、エージェントは、CVE-2021-29441 として追跡される 2021 年の認証バイパスと、Nacos が 2020 年以来変更せずに出荷してきたデフォルトの署名キーを使用して Nacos の制御を掌握しました。その後、エージェントは独自の管理者アカウントを植え付けました。

鍵のない身代金メモ

エージェントは、1,342 個の Nacos 構成設定をすべて暗号化し、元のデータベース テーブルを削除し、Proton Mail の連絡先アドレスを記載したビットコインを要求する身代金メモを残しました。ただし、重大な問題がありました。エージェントはランダムな暗号化キーを生成し、それを一度表示しただけで、どこにも保存したり送信したりすることはありませんでした。 Sysdig によると、引き渡す鍵がないため、被害者がお金を支払ったとしてもデータを回復することはできないということです。

身代金メモでは AES-256 暗号化が主張されていましたが、Sysdig はエージェントが使用したツールのデフォルトが弱い AES-128 であることを観察しました。最終結果は同じでした。エージェントはさらに進んで、データベース全体を削除し、すでにデータを別の場所にコピーしたことを主張するコメントを自身のコードに残しました。 Sysdig は、これはエージェント自身の主張であり、チームはデータが実際に流出したという証拠を発見できなかったことを指摘しました。

研究者は AI が運転していることをどのように認識したか

人間ではなくモデルがハンドルを握っていたことを最も明確に示すのは、コード自体でした。攻撃ペイロードには、各ステップの背後にある理由を説明する平易な英語のメモが埋め込まれており、人間の攻撃者がわざわざ書くことはほとんどないが、言語モデルがデフォルトで生成する解説です。また、エージェントはマシンの速度で自身の間違いを修正しました。ある例では、ログインの失敗から、やみくもに再試行するのではなく、正確な原因を診断して、約 31 秒で正しい複数ステップの修正に移行しました。

Sysdig は、操作全体にわたって 600 を超える個別の目的のあるペイロードをカウントしました。詳細が 1 つ謎のままです。身代金メモのビットコイン アドレスは、ビットコイン自身の開発者向けドキュメント全体に記載されているサンプル アドレスであり、これらのモデルがトレーニングされるテキストにも頻繁に現れます。また、長い取引履歴を持つ本物のアクティブなウォレットでもあります。研究者は、モデルが単に記憶から見覚えのあるアドレスを貼り付けただけなのか、それともオペレーターが意図的に本物のウォレットを選択したのかを判断できませんでした。

セキュリティへの影響

この調査結果は、自律型 AI エージェントがどの程度の速度で成熟しているのか、またどのようなガードレールが自律型 AI エージェントを制約するべきなのかについての議論に緊急性を与えています。セキュリティ専門家は、有能なエージェントが最終的には今日では専門知識を必要とする攻撃的な作戦を自動化する可能性があると長年警告してきた。 Sysdig レポートは、既知の脆弱性を連鎖させた攻撃がすでに閾値を超えている可能性があることを示唆しています。

組織にとって、メリットは 2 つあります。まず、パッチが適用されていないソフトウェアが依然として主要な侵入経路であり、資格情報やインターネットへの露出を処理する Langflow のようなツールは、迅速な更新を要求します。第 2 に、ストレージ システムとサービス ディレクトリのデフォルトの認証情報は、自動化された攻撃者がマシン速度で悪用できる永続的な問題として残ります。

このレポートはまた、AI プロバイダーに対して、モデルに多段階の攻撃的な操作の実行を許可すべきかどうか、また、API キーの不正使用が盗まれて悪用された場合に、被害が拡大する前にどのように検出して封じ込めることができるかについて、より広範な疑問を提起しています。エージェントがより有能になるにつれて、研究ツールと攻撃兵器の間の境界線は、多くの予想よりも速く狭まっています。

---

AI の先を行く

最新の AI ニュース、分析、画期的な情報をすべて 1 か所で入手できます。

AI ニュースをもっと読む→