EXECUTIVE SUMMARY · AI × RANSOMWARE
Sysdig Threat Research Team「JADEPUFFER: Agentic ransomware for automated database extortion」(2026年7月1日公開) を一次情報として、記述を1件ずつ照合した解説
インターネットに露出した Langflow の既知 RCE を起点に、本番の MySQL + Alibaba Nacos へ到達し、設定 1,342 件を暗号化したうえで高価値データベースを破棄した事例。Sysdig はこれを「LLM が端から端まで駆動した恐喝作戦の、初のドキュメント化された事例」と評価している。
攻撃能力を人間主導のツールキットではなく AI エージェントが供給する運用者、すなわち「エージェント型脅威アクター（ATA）」と位置づけている。同時に「個々の技術に新規性も高度さもなかった」と明記している——注目すべきは技術ではなく、AI がそれらを1本の完全な作戦に繋いだ点である、という整理。
以下の事実はすべて Sysdig TRT の観測に基づく単一出所である。生テレメトリとペイロード全文は公開されておらず、独立した第三者による再検証は成立していない。「初の完全エージェント型」というカテゴリ主張は、地の文では断定せず Sysdig の評価として扱う。本稿は Part I のみを対象とする（Part II が既に公開されている)。
エージェント性を支える行動信号はすべて同一の観測者に由来する。一方で、Sysdig は自ら判別できなかった点を複数開示している。この自己開示の存在が、報告の信頼度を支える主要な材料でもある。
使用された CVE、暗号化された 1,342 件、暗号鍵が stdout にしか出力されなかったこと、MinIO の既定認証、Nacos の既定 JWT 署名鍵の存在、C2 とステージング先の IP、修正サイクルの実タイムスタンプ。いずれも復号済みペイロードとログに紐づく。
身代金要求のビットコインアドレスの由来、MySQL の root 認証情報の入手経路、ステージング先への実際のデータ持ち出しの有無。いずれも「観測できていない」と明記されており、推測で埋められていない。
2つの標的にまたがる。侵入口となった Langflow ホストと、真の目標である別の外部公開本番サーバ。全ペイロードは Langflow の RCE エンドポイント経由で Base64 エンコードされた Python として投入された。
「LLM が駆動した」という評価は、単一の観測ではなく4つの独立した証拠系統の重なりとして提示されている。うち1つは、Sysdig 自身が結論を出せなかった論点である。
コンテナ脱出の可否を約8分かけて調べた後、エージェントは後片付けを行い、明示的な「完了マーカー」ファイルを書いてからランサム段階へ移った。Sysdig はこれを「人間が書いた固定の攻撃スクリプトには見られない挙動。構造化されたエージェントがタスクを完了し、次に進む準備ができたと合図している」と評価している。
証拠系統②の中核。Nacos にバックドア管理者を注入する場面で、失敗の原因を特定したうえでの是正が観測されている。
破壊段階で DROP DATABASE が外部キー制約により暗黙に失敗した際、次のペイロードは同じコマンドを SET GLOBAL FOREIGN_KEY_CHECKS=0 で囲み、終了後に戻している。Sysdig の評価は「この修正は、失敗したという事実だけでなく、なぜ失敗したかの理解を要する」。汎用的な再試行ではない、という点が要旨である。
4系統目の証拠。エージェント性を論じるうえで最も示唆的でありながら、Sysdig が結論を出せなかった論点。
連絡先 e78393397[@]proton[.]me は脅威インテリジェンス DB・被害者フォーラム・不正報告のいずれにもヒットせず、書式（英小文字1字＋数字8桁）も、数千の被害者に使い回される記述的なハンドルという既知の傾向と一致しない。テーブル名 README_RANSOM も既知の MySQL ランサム系譜（WARNING / RECOVER_YOUR_DATA / PLEASE_READ_ME）のいずれにも当てはまらない。既存の犯罪インフラの痕跡が見当たらないという点で、3つの artifact は同じ問いを提起している。
| 項目 | 内容 | 重大度 | 備考 |
|---|---|---|---|
| Nacos 設定の暗号化と原本破棄 | 1,342 件すべてを AES_ENCRYPT() で暗号化し、config_info と履歴テーブルを DROP | 高 | 設定管理基盤の機能停止 |
| 暗号鍵の扱い | 鍵は uuid4() 2つ分の実質ランダム。stdout に一度出力されただけで保存も送信もされていない | 高 | 支払っても復旧できないと原文が断定 |
| 高価値スキーマの DROP | 顧客・ユーザー・ポイント等のスキーマを破棄。外部キー制約は一時無効化 | 高 | 「バックアップ済み」はエージェント自身の注記 |
| 広範な資格情報収穫 | LLM プロバイダ API キー、クラウド資格情報、暗号資産ウォレットとシードフレーズ、DB 資格情報 | 高 | 二次被害の起点となりうる |
| 使用された攻撃手法 | 既知 CVE、既定認証、2021年の認証バイパス、未変更の既定署名鍵 | 中 | 新規ゼロデイの連鎖ではない |
| 暗号化アルゴリズムの表示 | 身代金文書は AES-256 を主張。AES_ENCRYPT() は既定で AES-128-ECB | 低 | 主張が誇張の可能性。実務的影響は同じ |
64.20.53[.]230 はコード中の注記に一度現れるだけで、Sysdig は「エージェント自身の言明であり、独立に検証された持ち出しではない」と明記している生テレメトリとペイロード全文は公開されていない。行動に関する評価（自己語り、31秒サイクル、文脈読解）はすべて同一観測者に由来する。一方で IoC と復号済みコード断片は公開されており、他ベンダーの観測との突合は可能な状態にある。
突破口となったのは、エージェント特有の何かではなく、露出した管理面と既定設定だった。したがって対策も従来の運用衛生に帰着する。
token.secret.key を変更する（文書化された値のまま出荷しない）、カスタム鍵を強制する版へ更新、インターネットに晒さない、そしてバックエンド DB へ root で接続させない| 種別 | 値 |
|---|---|
| C2 / 初期アクセス元 | 45.131.66[.]106（cron ビーコン先 hxxp://45.131.66[.]106:4444/beacon、30分毎） |
| ステージングサーバ | 64.20.53[.]230（InterServer, AS19318）— 実際の送信は未確認 |
| 侵入口の脆弱性 | CVE-2025-3248（Langflow 未認証 RCE） |
| 身代金要求 | BTC 3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy／連絡先 e78393397[@]proton[.]me／テーブル名 README_RANSOM |
| 永続化 | 30分毎に C2 の 4444 番ポートへビーコンする crontab エントリ |
※ 本節のうち引用で示した箇所は Sysdig の見解、それ以外は編集部の解釈であり、一次情報に明記された結論ではありません。
Sysdig の指摘で最も実務的な論点。「LLM はペイロードの中で自らの目的を語る。この自己語りは、防御側がこれまで持たなかった検知・トリアージの機会である」。難読化された従来のマルウェアと逆で、攻撃の意図と優先順位がテキストとして残る。
Sysdig:「エージェントは過去の脆弱性カタログ全体を撒くコストを実質ゼロにする。放置され未修正のシステムという長い裾野は、これまでより安全ではなくなる」。2021年の Nacos 認証バイパスと未変更の既定鍵が実際に使われている。
Sysdig:「ランサムを走らせる技能の敷居は、エージェントを動かすコストにまで下がった。そのエージェントが LLMjacking で盗んだ認証情報の上で動いているなら、攻撃者のコストはほぼゼロである」。深い専門性を持たない相手からの攻撃が増えうる。
「AI が自律的にランサムを実行した」という見出しは強いが、侵入の起点は古典的な運用欠陥であり、個々の技術に新規性はないと発表者自身が述べている。さらに Phase 2 の起点となった root 認証情報の出所は観測されていない。完全自律という像は、一つの継ぎ目で確認が取れていない。
エージェント化が与えるのは速度と粘り強さ、そして攻撃者側の技能要件の低下である。一方で突破に使われたのは、インターネットに晒された管理インターフェースと既定のままの認証情報という、10年前と変わらない欠陥だった。投資判断としては、AI 固有の新しい防御を買う前に、露出管理・既定設定の排除・egress 制御・管理アカウントの隔離が終わっているかを先に確認するのが順序として正しい。そのうえで、エージェントの自己語りを拾えるランタイム検知は、この種の攻撃に対して新しく有効な層になりうる。