AIが自律実行した初のランサムウェア「JadePuffer」

⏱ 読了約9分3,487 字

📑 目次

AIが31秒で「ログイン失敗」を自力修復した
それでも「人間が必要だった」
使われたのは「安全装置を外した公開モデル」か
「自分ごと」としての意味——防御側の前提が変わる
まとめ
解説動画
参考・出典

クラウドセキュリティ企業のSysdigが2026年7月6日、AIエージェントがその大半を自律的に実行した初のランサムウェア攻撃を確認したと公表した。「JadePuffer」と名付けられたこの攻撃では、サーバーへの侵入から認証情報の窃取、データの暗号化、身代金要求文の作成までをAIが担い、人間は攻撃の準備と標的選定に回った。攻撃の主役が人からソフトウェアへ移りつつある——企業のセキュリティ担当者にとって、防御の前提を書き換えかねない出来事だ。

AIが31秒で「ログイン失敗」を自力修復した

Sysdigの分析によれば、AIエージェントはまず、オープンソースのLLMアプリ構築ツール「Langflow」の脆弱性を突いて標的サーバーに侵入した。LangflowとデータベースのMySQLに存在する既知のバグを連鎖させて管理者権限を奪取し、ネットワーク内を横方向に移動しながら認証情報を盗み出していったという。

特筆すべきは、その振る舞いの自律性だ。エージェントはログインに失敗した際、わずか31秒で自らその問題を修正して先へ進んだ。最終的に1,300件を超える設定情報を暗号化し、ビットコインの送金先アドレスを含む身代金要求文まで自分で書き上げている。従来のランサムウェアが攻撃者の手作業に強く依存していたのに対し、JadePufferでは技術的な実行部分の多くを機械が肩代わりした。

それでも「人間が必要だった」

もっとも、この攻撃は完全な無人犯行ではなかった。Sysdigの脅威リサーチ担当シニアディレクター、Michael Clark氏はこう述べている。「人間が依然として作戦を立ち上げ、方向づけ、その背後のインフラ——指令サーバー（C2）や盗んだデータを集める中継サーバー——を用意し、標的を選んだ」。環境構築・インフラ調達・被害者の選定・認証情報の供給は、人の仕事として残ったということだ。

Clark氏によれば、エージェントはLangflowが動くホストを掃うように調べ、各種プロバイダーのAPIキー、クラウドの認証情報、暗号資産ウォレット、データベース設定など「価値のあるものすべて」を収集したという。「それらは攻撃者が持ち去る価値があると考えたものを示しているが、どのモデルが判断を下していたかまでは分からない」とも語っている。

この「人間と機械の分業」は、防御と法の両面で厄介な問題を生む。攻撃の実行がAIに委ねられれば、手口の癖やログの痕跡から攻撃者を特定する従来の手法は通用しにくくなる。誰が指示を出したのかという責任の所在も曖昧になりやすい。Sysdigが「人間がまだ必要だった」とわざわざ強調するのは、裏を返せば、その人間の関与部分が今後さらに小さくなっていくことへの警戒でもある。技術的な実行を機械に丸ごと任せられるようになった今、残された「人間の仕事」がどこまで縮むかが、この脅威の行方を左右する。

使われたのは「安全装置を外した公開モデル」か

今回の攻撃を動かしたAIが、具体的にどの企業のどのモデルだったのかは特定されていない。記事はOpenAI、Anthropic、DeepSeek、Geminiといった名前に触れつつも、収集された「戦利品」は攻撃者の関心を映すだけで、意思決定を担ったモデルの正体は明かさないと釘を刺す。

一方、MicrosoftのリサーチャーGeoff McDonald氏は、自身のレッドチーム（攻撃者役の検証）経験から一つの見立てを示した。今回の攻撃は最先端のフロンティアモデルではなく、安全性の訓練（セーフティチューニング）を剥ぎ取った公開重み（オープンウェイト）モデルによって動かされた可能性が高い、というものだ。高性能な商用モデルには不正利用を拒む仕組みが組み込まれているが、重みが公開されたモデルはその制御を外して悪用しうる。

この見立てが正しければ、含意は重い。フロンティアモデルの提供各社が安全対策を強化しても、性能の底上げされた公開モデルが世に出るたびに、その安全装置を外した「武器化版」が悪用に流れうるからだ。AIの能力が広く行き渡ることの恩恵と、それが悪用の裾野も広げるという副作用は、コインの裏表の関係にある。今回の攻撃は、その副作用が現実の被害として立ち現れた最初期の例と言える。

「自分ごと」としての意味——防御側の前提が変わる

この一件がビジネスの現場に突きつけるのは、攻撃のコストと速度が根本から変わりうる、という現実だ。これまでサイバー攻撃の規模は、熟練した攻撃者の人数と時間に縛られていた。だがエージェントが侵入・探索・暗号化を自走できるなら、一人の攻撃者がより多くの標的を、より速く、より安く攻められることになる。31秒で自力復旧するという細部は、その自律性の水準を象徴している。

もっとも、防御側も同じ技術を使える。AIによる脆弱性の発見と修正はすでに現実のものになりつつあり、本サイトでもOpenAIがオープンソースの脆弱性をAIで発見・修復する取り組みを取り上げてきた。攻撃と防御の双方が自動化に向かうなか、鍵になるのは人間がどこで判断を握り続けるかだ。AIを「有能な同僚」と過信すると、かえってエラーの見落としが増えるという研究結果もある。自動化に任せる範囲と、人が監督する範囲の線引きが、これまで以上に問われる。

では具体的に何をすべきか。今回の侵入口が「既知の脆弱性を放置したサーバー」だった点は見逃せない。派手なゼロデイ（未知の欠陥）ではなく、パッチを当てていれば防げた穴からAIは入り込んでいる。つまり当面の防御は特別な魔法ではなく、(1)外部に露出したツール——今回のLangflowのような——の脆弱性を素早く塞ぐ、(2)APIキーやクラウド認証情報を一か所に貯め込まない、(3)自動化された不審な挙動を早期に検知する仕組みを持つ、という基本の徹底に尽きる。AIが攻撃を高速化するぶん、防御側の「対応の速さ」がこれまで以上に生死を分ける。

まとめ

JadePufferは、AIエージェントがランサムウェア攻撃の技術的中核をこなせることを実証した最初の事例となった。それでも標的選定やインフラ構築には人間が関与しており、「完全自律の攻撃」にはまだ距離がある。だが方向性ははっきりしている。企業に求められるのは、既知の脆弱性（今回のLangflowやMySQLのように）を放置しないという基本の徹底と、AIを使った攻撃を前提にした監視体制の見直しだ。攻撃者がAIを雇い始めた以上、守る側もAIをどう使うかを問われている。