JADEPUFFER、エージェント型ランサムウェアを進化させAIモデルと学習データを標的に

公開されたLangflowインフラを狙った自律型ランサムウェア攻撃で最初に確認された脅威アクター「JADEPUFFER」が、人工知能モデルや学習用データセット、ベクトルデータを標的とするようツールを進化させていることがわかりました。

MasterCoding Skills

最新のペイロード「ENCFORGE」は、従来型のデータベース恐喝から、高価値なAI・機械学習資産の破壊を狙う攻撃へと軸足を移していることを示しています。

同グループのENCFORGEロッカーは、モデルチェックポイントやベクトルデータベース、埋め込みインデックス、学習データなど、現代のAIシステムの構築・運用に必要な成果物に関連する約180種類の拡張子を対象としています。

この攻撃活動が注目される理由は、従来型のランサムウェアキャンペーンとは異なり、ペイロードの選定方法そのものというよりも、その背後にある意思決定モデルにあります。

Sysdigは、JADEPUFFERを「エージェント型脅威アクター」であると分類しています。これは、継続的な人間の承認を経ることなく、計画立案・実行・失敗の評価・攻撃活動の調整を行えるAI主導のオペレーターを指します。

観測された攻撃活動からは、LLMエージェントが偵察、悪用、認証情報の探索、永続化、権限昇格、そして恐喝目的の破壊を機械的な速度で連鎖的に実行できることが示されています。

このキャンペーンにおける当初の侵入経路は、LangflowのAPIエンドポイント/api/v1/validate/codeにおける重大な認証欠如の脆弱性、CVE-2025-3248でした。

1.3.0より前のバージョンのLangflowでは、細工されたリクエストによって認証なしのリモートコード実行が可能でした。

CISAは、実際の悪用の証拠が確認されたことを受け、2025年5月にこの脆弱性を既知の悪用済み脆弱性(KEV)カタログに追加しています。

JADEPUFFERは、このLangflowの侵害を利用してホスト環境を列挙し、LLMプロバイダーのAPIキーやクラウド認証情報、データベース接続情報、機密性の高い設定ファイルを探索したと報告されています。

その後、攻撃者はデータベースおよび構成管理インフラへと侵入範囲を広げ、レコードを暗号化し、元のデータを削除した上で身代金要求を残していました。

改良版のENCFORGE機能は、この攻撃モデルを業務データベースから、迅速な再構築が困難・高コスト・あるいは不可能なAI資産へと拡張しています。

最も重大な変化は、ENCFORGEがAI開発ライフサイクルに焦点を当てている点です。従来型のランサムウェア被害では、共有ファイルサーバーや仮想マシン、SQLデータベースが暗号化されるのが一般的でした。

これに対しENCFORGEは、学習済み重み、チェックポイント、データセット、特徴量ストア、埋め込みコレクション、ベクトルインデックスなど、蓄積された計算リソースへの投資と独自の知的財産を象徴するファイルを狙います。

多くの組織にとって、モデルの喪失からの復旧は単にバックアップを復元すれば済むという話ではありません。

再構築には、元データの再取得、前処理パイプラインの再構成、高価なGPUリソースの調達、ファインチューニング作業のやり直し、そして再学習したモデルが同等の品質と安全性を発揮することの検証が必要になる場合があります。

MasterCoding Skills

Sysdigの推計によると、破壊されたモデル1件あたりの復旧コストは、規模や再学習の要件に応じておよそ75,000ドルから500,000ドルに上るとされています。

この攻撃はまた、破壊を優先する性質を持つとみられています。ENCFORGEの展開において観測された挙動は、データ窃取の後にリークサイトでの脅迫を行うという、近年一般化している二重恐喝の手順に依拠していませんでした。

その代わりに、代替の利かないAI資産へのアクセスを遮断することに焦点を当てており、AIパイプラインの不変かつ検証済みのバックアップを持たない組織に対しては、即座に大きな圧力をかける可能性があります。

Sysdigのセキュリティ研究者らの報告によれば、JADEPUFFERは2026年7月、以前に侵害していたLangflow環境に再び現れ、AI・機械学習ワークロード向けに強化されたランサムウェア機能を投入したとされています。

エージェント型ランサムウェアがAIモデルを標的に

JADEPUFFERの事例は、エージェント型ランサムウェアが防御側の状況をなぜ一変させるのかを物語っています。自動化されたランサムウェア自体は何年も前から存在してきましたが、大半のコモディティ型の亜種は固定的な処理手順に従うだけでした。

これに対しエージェント型のオペレーターは、目標に向かって作業を進め、コマンドの出力を解釈し、失敗を特定した上で、動的に修正した手法を生成することができます。

この結果、攻撃に必要なスキルの敷居は、AIエージェントへのアクセスをレンタルまたは侵害するのに要するコストの水準まで下がります。しかも、そのアクセスが「LLMjacking」と呼ばれる手法によって盗まれた認証情報経由で得られる場合、コストはさらに低くなります。

以前の侵入では、攻撃者が失敗した操作をおよそ31秒で修正する様子が観測されていました。今回のENCFORGE展開では、エージェントが配信上の問題を克服するため、数分のうちに複数の修正用Pythonスクリプトを作成・実行したと報告されています。

このフィードバックループにより、防御側が従来、不審な活動の検知やアラートの調査、影響を受けたシステムの隔離に使ってきた滞留時間が短縮されてしまいます。

今回の攻撃活動はまた、攻撃者がAIオーケストレーションプラットフォームを特権的な侵入口として狙う傾向が強まっているという証拠の積み重ねとも一致しています。

こうしたプラットフォームは一般に、データベースやクラウドサービス、API、コード実行環境、モデルリポジトリと接続されています。

そのため、公開された単一のサービスから、従来型の企業機密とAIアプリケーションを支える中核資産の両方が露出してしまう可能性があります。

Langflowや類似のAIワークフローフレームワークを運用している組織は、インターネットに公開されているすべてのインスタンスを直ちに洗い出し、バージョン状況を確認した上で、CVE-2025-3248に対するベンダー修正を適用する必要があります。

この脆弱性のCVSSスコアは9.8で、認証なしのコード実行を可能にし、実際に悪用が確認されています。

BookSecurity Audits

セキュリティチームはまた、コード検証用インターフェース、管理用インターフェース、オーケストレーション用インターフェースについて、可能な限りインターネットへの直接的な露出をなくすべきです。

アクセスには強固な認証と、データベース、クラウドメタデータサービス、コンテナランタイム、シークレットストアからのネットワーク制限・分離を要求する必要があります。

そして何よりも重要なのは、バックアップ戦略にAI・機械学習の成果物を明示的に含めることです。

不変かつオフラインで、定期的にテストされた復旧用コピーには、従来型のデータベースやファイル共有だけでなく、モデルの重み、学習データ、ベクトルデータベース、プロンプトテンプレート、評価用データセット、パイプライン構成も含める必要があります。

JADEPUFFERの進化は、ランサムウェアがAIインフラを付随的な技術としてではなく、主要な標的として扱い始めていることを示しています。

攻撃手法自体はこれまでと変わらないものの、自律的なオペレーターはそれらをより速く組み合わせ、より積極的に繰り返し、通常のシステムが復旧した後もAI運用を長期にわたって停止させかねない資産に狙いを絞ることができるのです。

IOC(侵害指標)

注: IPアドレスおよびドメインは、誤って名前解決やハイパーリンク化されるのを防ぐため、意図的に無害化表記(defang、例: [.])としています。再度有効な形式に戻す作業は、MISP、VirusTotal、あるいは自社のSIEMなど、管理された脅威インテリジェンス基盤の中でのみ行ってください。

SOCのアラート調査時間を1件あたり21分短縮。即座に使えるIOCコンテキストでSOCの対応力を強化: TI Lookupを自社のSOCに統合する