JadePuffer、AIエージェント攻撃で今度はランサムウェアによるAIモデルデータの破壊を標的に

自律型AIエージェントを悪用する「JadePuffer」が、AIアセットの暗号化に特化した「EncForge」というカスタムマルウェアを新たに導入してアップグレードしました。標的となるのは学習データセット、ベクトルデータベース、モデルチェックポイントなどです。

JadePufferは、初期アクセスからデータ暗号化に至るランサムウェア攻撃の全段階を自律的に実行できる「エージェント型脅威アクター（ATA）」として、今月初めに公表されていました。

クラウドセキュリティ企業Sysdigによれば、このAIエージェントは技術的な障害にリアルタイムで適応し、正しい修正方法を1分足らずで見つけ出すなど、侵入メカニズムを最適化していたといいます。

最新の攻撃

Sysdigは本日公開したレポートの中で、攻撃者がCVE-2025-3248の脆弱性を抱える侵害済みのLangflowインスタンスに再び戻り、「AIおよび機械学習（ML）インフラ向けに特別に構築された」Go言語ベースのランサムウェア「EncForge」を展開したと報告しています。

Sysdigは「このバイナリは約180種類のファイル拡張子を標的としており、モデルチェックポイント、ベクトルデータベース、学習データセット、埋め込みインデックスなど、現代のAI/MLスタックのほぼすべての形式を意図的に幅広く網羅する掃討を行う」と述べています。

アクセス権を取得し、クラウド認証情報、APIトークン、到達可能な内部サービスを探索した攻撃者は、root権限による制御を可能にする、外部公開されたDockerソケットを発見しました。

ランサムウェアのペイロードをダウンロードする最初の試みが失敗すると、オペレーターはわずか5分間で6つのPythonスクリプトを段階的に開発・展開し、最後の1つ（deploy.py v2）で配信の問題を解決しました。

「deploy.py v2は完成版のペイロードです。対象のPIDを特定し、procfs経由でネームスペースの境界を越えてENCFORGEをコピーし、試行モードでのスキャンを実行し、実際の暗号化処理を開始した上で、.lockedファイルの数を数えて実行を検証する、完全自律型のパイプラインとなっています」とSysdigは説明しています。

EncForceランサムウェア

このGo言語ベースのバイナリ（lockd）は、Ultimate Packer for eXecutables（UPX）でパッケージ化されており、以下を含む180種類のファイル拡張子を標的としています。

• AIモデルチェックポイント
• Hugging FaceのSafeTensorsファイル
• PyTorchおよびTensorFlowのモデル
• GGUFおよびGGMLの重みファイル
• FAISSベクトルインデックス
• Parquet、Arrow、TFRecord、NumPy、DuckDBといった形式を含む学習データセット

コマンドラインのヘルプにも、LoRAアダプターやレガシーGGMLファイルが追加の標的例として挙げられています。Sysdigはこれを、このランサムウェアが汎用的なファイル暗号化ツールではなく、AI環境向けに意図的に構築された証拠だと見ています。

EncForceは、カウンターモードのAES-256アルゴリズムを用いたハイブリッド方式でファイルを暗号化し、対称鍵はRSA-2048の公開鍵によって保護されます。

処理性能を高めるため、このマルウェアはファイル全体ではなく、各ファイルの選択された一部分のみを暗号化します。暗号化されたファイルには「.locked」拡張子が付加され、被害者に攻撃を知らせるための身代金要求メモが設置されます。そこには一意の識別子が割り当てられている旨が記載されています。

研究者らは、JadePufferが侵入時にデータを窃取した痕跡は見つけておらず、EncForge自体にもデータ窃取の仕組みは含まれていないとみられます。

Linux版の分析からは、シャドウコピーの削除やブート復旧の無効化といった、Windows向けの復旧妨害機能の存在が明らかになりました。コード内にはmacOS版の存在をうかがわせる記述もありますが、こちらは未確認です。

Sysdigは、モデルの重み、学習データセット、ベクトルインデックスが暗号化されると、組織は数週間から数ヶ月に及ぶ学習・ファインチューニングの成果を失いかねないとコメントしています。金銭的な被害額は、モデルの規模や用途に応じて1件あたり75,000ドルから500,000ドルに上ると推定されています。

対策としては、利用可能なセキュリティアップデートの適用（特にLangflowのバージョン1.3.0以降への更新）、Dockerソケットへのアクセス制限、Langflowコンテナの非root権限での実行、そしてモデルの重みを格納するディレクトリへのファイルシステムレベルのアクセス制御の適用が推奨されています。