Sysdig（シスディグ）の脅威研究チームは先週、オープンソースのコード「Langflow」の公開されたインスタンスに対する、AI主導の恐喝チェーンを伴う、初の既知の自律型（エージェンティック）ランサムウェア作戦とされる「JadePuffer（ジェイドパファー）」について記録した。ランサムウェア型の手法を用いるJadePufferは、AIエージェントを使用して、偵察や認証情報の窃取から、ラテラルムーブメント（横展開）、データベースの暗号化、さらには身代金要求書（ランサムノート）の作成に至るまで、侵入プロセスの大部分を実行した。
被害者の選定、認証情報の提供、攻撃インフラの構築は人間が担ったが、共犯者の代わりに、信頼性が高く、高速で、疲れを知らないサイバー犯罪のアシスタントとしてAIが使用された。JadePufferは、完全に自律的なAIハッカーはまだ登場していないものの、自律型AI（エージェンティックAI）がランサムウェアの単調で面倒な作業を自動化し始めていることを示している。企業のリーダーにとって、これは深刻な進展である。今やサイバー犯罪は、より賢いアシスタント、より低いコスト、より迅速な実行、そして各段階に関与する熟練した人員の削減によって自動化できるようになった。
サイバー犯罪の「速度」が焦点に
JadePufferを、住宅侵入に例えてシンプルに考えてみよう。この場合、泥棒が家を選び、侵入コードを入手し、トラックを持ってくる。中に入ると、泥棒はロボットのアシスタントを送り込み、そのロボットは部屋中を駆け回り、引き出しを調べ、鍵をコピーし、キャビネットに鍵をかけ、データをロック解除するための金を要求する脅迫状を書く。人間が依然として犯罪を指示しているが、かつては忍耐力や専門知識、キーボードに向かう時間を必要とした、繰り返しの多い技術的な作業の多くをAIエージェントがこなしている。
ランサムウェアは常に、多くの職務を伴うビジネスモデルであった。誰かがアクセス手段を見つけ、認証情報を盗み出さなければならない。誰かがネットワークを調査し、どのデータが重要かを判断しなければならない。誰かがファイルを暗号化し、あるいは暴露すると脅さなければならない。そして、要求と交渉が始まる。自律型AIは、そのチェーンのほぼすべての段階でその「誰か」に取って代わることで、価値をもたらす。最も遅く退屈な中間のステップを置き換えるだけでも、十分に効果的だ。
JadePufferの手法は目新しいものではなかった。TechCrunch（テッククランチ）の報道では、かなりありふれたものと評されている。そのエージェントは既知のバグを利用し、認証情報を探し出し、データベースへと移動し、恐喝メッセージを残した。Sysdigによると、ペイロード（攻撃用のプログラム）には自然言語による推論、標的の順位付け、そしてAIが生成したコード自身を説明するようなコメントが含まれていたという。
これは、サイバー防御者にとって重要なディテール（詳細）である。人間のハッカーは多くの場合、自身の意図を隠すが、AIエージェントはコマンドや攻撃の試行を論理的に処理する過程で、奇妙な痕跡を残すことがある。現在のAIシステムはやや目立つものの、セキュリティチームはこの優位性が長く続くと期待すべきではない。将来のバージョンはより静かで、冗長でなく、通常の自動処理と区別するのがより難しくなる可能性がある。
攻撃の可視性の低下とコストの削減
TechCrunchによると、SysdigはJadePufferの背後にある正確なモデルを特定できず、システムプロンプトや構成にも可視性を持たなかった。このシステムはOpenAI（オープンAI）、Anthropic（アンソロピック）、DeepSeek、GeminiのAPIキーを収集したが、Sysdigはこれらのキーが戦利品にすぎず、これらのモデルのいずれかが攻撃を駆動していた証拠ではないと明確にしている。
しかし、現在ではDeepSeekやGLMなどのローカルホスト型のオープンウェイトモデルが利用可能になったため、クラウドベースのモデルの痕跡がまったく見えなくなるのではないかという懸念が生じている。クラウドホスト型のフロンティアモデル（最先端モデル）は痕跡を残す可能性がある。モデルのプロバイダーは、アカウントのアクティビティ、利用パターン、プロンプト、ツール呼び出し、その他のテレメトリデータを監視できるため、悪用を検知し、アカウントを停止し、脅威情報を共有するのに役立つ。OpenAI（オープンAI）は、自社の脅威レポートが、攻撃者がAIモデルを（多くの場合、他のプラットフォームやツールと組み合わせて）どのように悪用しようとしているかについての自社の見解に基づいていると述べている。Anthropic（アンソロピック）は、Claude（クロード）をフィッシングメール、悪意のあるコード、セーフガードの回避に利用しようとする試みを検知した後、アカウントを禁止し、フィルターを強化したと報告している。
しかし、ローカルでホストされるオープンウェイトモデルは、その構図を一変させる。攻撃者がローカルマシン、レンタルGPU、乗っ取られたインフラ、あるいは自前のハードウェア上で実力のあるモデルを実行する場合、停止すべきOpenAI（オープンAI）やAnthropic（アンソロピック）、Googleのアカウントは存在しない。召喚令状で請求すべきプロバイダーのプロンプト履歴も、確認すべきクラウドモデルのログも、オペレーターと出力の間に存在する中央集権的な安全フィルターも存在しない。可視性の焦点は、被害者のネットワーク、攻撃者のインフラ、そしてエージェントが残した遺物へと戻る。JadePufferにおいて、Sysdigが有用な痕跡を捕捉できたのは、ペイロードが自己解説的であり、自然言語による推論、標的の順位付け、および異常に冗長なコメントを含んでいたからである。将来の攻撃者は、エージェントに対し、より静かに行動するよう指示するかもしれない。
コスト面は、可視性の面と同じくらい重要かもしれない。CSIS（戦略国際問題研究所）は2026年7月、近年の中国製モデルは、多くの現実世界のタスクにおいて競争できるほど最先端システムに近づいていると指摘し、米国のシステムとのギャップを縮めているモデルとして、GLM、DeepSeek、Qwen、Kimiなどを挙げた。これは、攻撃者がますます多くの選択肢を持ち、移行コストが低下し、厳重に監視された商用APIに依存する必要性が低くなることを意味している。
サイバー犯罪者がこれらのツールを実験的に使用している公の証拠は、すでに存在する。Check Point Researchは2025年、犯罪者がDeepSeekの脱獄（ジェイルブレイク）プロンプトを共有し、ChatGPT（チャットGPT）、Qwen、DeepSeekを組み合わせて、大量のスパム配信用のスクリプトのトラブルシューティングや最適化を行っていたと報告した。これは、脅威アクターがこれらのモデルをサイバー犯罪の作業台の一部として扱っていることを示している。
サイバー攻撃におけるAI利用の拡大
英国の国家サイバーセキュリティセンター（NCSC）は2024年1月、AIが今後2年間でサイバー攻撃の量と影響をほぼ確実に増大させるだろうと警告した。同センターの評価によると、AIは初心者レベルのサイバー犯罪者、雇われハッカー、ハクティビストがアクセスや情報収集作業を行うハードルを下げ、それが世界的なランサムウェアの脅威を助長する可能性が高いという。
自律型システムは、ドキュメントの検索、コードの記述、エラーのデバッグ、盗まれたファイルの分類、身代金要求メッセージの生成を行うことができる。Anthropic（アンソロピック）はすでに、同様の方向性を示す悪用事例について説明している。同社は2025年8月、少なくとも17の組織を標的にした大規模なデータ恐喝作戦において、Claude Codeを使用したサイバー犯罪者を阻止したと発表した。Anthropic（アンソロピック）によると、このツールは偵察、認証情報の収集、ネットワークへの侵入の自動化に使用され、身代金は50万ドル（約8120万円）を超えることもあったという。
同社が2025年11月に発表した、AIが組織したスパイ活動に関するレポートによると、人間のオペレーターが依然として標的を選択し、指示を与えていたものの、偵察、エクスプロイトコード（脆弱性攻撃プログラム）の作成、認証情報の収集、データレビューなど、作業の大部分をAIが実行した。AIはミスも犯した。存在しない認証情報をハルシネーション（幻覚）によって生成したり、公開されている情報を秘密情報として抽出したと主張したりした。
AIアプリサーバーが攻撃対象領域の一部に
JadePufferの事例は、企業に対して、本番ネットワークに追加しているAIシステムをより厳しく見直すよう促すものである。Langflowや同様のツールは、エージェントのワークフローを構築するのに便利であるため、結果として、秘密情報、クラウドキー、モデルプロバイダーのトークン、データベース、内部サービスなどの近くに配置される可能性がある。
Sysdigによると、JadePufferは、インターネットに公開されたLangflowインスタンスから、ホスト上での認証されていないPython実行を可能にする、コード検証エンドポイントにおける認証欠如の脆弱性（CVE-2025-3248）を利用して侵入した。攻撃者がそのようなホスト上でコードを実行できるようになれば、あとはそのホストがどこにアクセスできるかという問題にすぎない。
AIシステムを競って配備している企業にとって、これは不都合な事実である。AIプロジェクトや、バイブコード（雰囲気で作成された）システムがサードパーティ製コードに依存しているため、システムは急速に脆弱性となり得る。自律型ランサムウェアは、AIに対する「素早く行動し、破壊せよ」というアプローチに罰を与える。公開されているツールが秘密情報を保持し、本番データベースにアクセスできるのであれば、エージェントはゼロデイ攻撃を必要としない。
Anthropic（アンソロピック）の「Mythos」や「Claude 5.6」といった強力なモデルの進歩と、現実世界の攻撃の証拠を前に、AIとサイバーセキュリティに関してはすでに境界線を越えてしまったことは明らかである。企業は、どのAI開発ツールがパブリックインターネットからアクセス可能であるかを自問すべきだ。モデルプロバイダーのキー、クラウドの認証情報、データベースのパスワードがどこに保存されているかを問うべきだ。どのサービスアカウントが本番データにアクセスできるのか、そしてその理由を問うべきだ。侵害されたAIアプリサーバーが、データベース、内部の管理パネル、またはストレージバケットと通信できるかどうかを問うべきだ。
また、自社のセキュリティチームが、手遅れになる前にマシンの挙動を検知できるかどうかも問うべきである。人間のオペレーターであれば、ログインをテストし、一時停止し、エラーを読み、そして再試行するかもしれない。SysdigとTechCrunchによると、JadePufferはログインの失敗からわずか31秒で動作可能な修正を適用したという。人間の行動速度に合わせて構築された検知ルールでは、エージェントの処理速度を見落とす可能性がある。
自律型システムによって恐喝作業がより安価になり、それがすでに現実世界で起きているという証拠がある今、AIを搭載した大量の自動化ランサムウェア攻撃はより一般的になるだろう。JadePuffer攻撃からの警告は、それが従来のモデルよりも人間の労働力を必要としないということであった。ランサムウェアにおいて、労働力の削減は通常、犯罪の増加を意味する。
