THREAT BRIEFING · AI × RANSOMWARE
ESET Research の初報（2025年8月26日）と追記（同9月3日）、およびニューヨーク大学 Tandon 校の発表（同8月28日）を一次情報として、記述を1件ずつ照合した解説
VirusTotal 上で見つかった検体を ESET が「既知で初の AI 駆動型ランサムウェア」として公表した。その約1週間後、それを作ったのは攻撃者ではなく大学の研究チームだったことが判明した。
ESET は初報の時点から「実際の攻撃では観測されておらず、概念実証（PoC）または開発途上と考えられる」と明記していた。日本語プレスリリースにも「ESET は PromptLock を概念実証（PoC）と位置付けている」とある。したがってこれは「実運用の脅威を誤って発表した」という話ではない。誤っていたのは出自の推定——攻撃者の作か、研究者の作か——という一点である。
研究チームは統制された実験室環境で倫理指針に従って作業し、試験手順の一環でプロトタイプを VirusTotal に上げた。そこにあったファイルは機能するランサムウェアのコードに見え、学術的な出自を示すものは何もなかった。専門の解析者が実際の攻撃者の作品と受け取ったという事実そのものが、この研究の到達点を示している。
検体の技術的分析は ESET、研究の内容と出自は NYU Tandon による。両者は利害の異なる独立した出所であり、後者が前者の初期解釈を訂正する関係にある——本サイトが扱ってきた AI 脅威事案の中では、検証の条件が最も良い部類に入る。ただし研究の数値は査読前のプレプリント（arXiv:2508.20444）に基づく。
初報から訂正までの経緯。日本語プレスリリースが出た日と、NYU が論文を公開した日が同じであることに注意したい。
ESET が観測した技術的な特徴と、NYU が説明する設計は整合している。同じものを外側と内側から見ている。
本体は Golang 製で、Windows 版と Linux 版が VirusTotal 上にあった。OpenAI の gpt-oss-20b モデルを Ollama API 経由でローカルに動かし、悪性の Lua スクリプトをその場で生成して実行する。スクリプトはハードコードされたプロンプトから作られ、ファイルの列挙・検査・持ち出し・暗号化を行う。破壊機能はコード内にあるが実装されていない。暗号化には SPECK 128ビットを使用。検出名は Filecoder.PromptLock.A。
従来のように攻撃コードを事前に書き込むのではなく、プログラム内に文章で指示を埋め込む。起動すると LLM に接続し、被害者ごとの構成に合わせた Lua スクリプトを生成させる。使うのは商用サービスのような安全制限を持たないオープンソースモデル。同一の初期プロンプトでも、実行のたびに異なる攻撃コードが生成される。プロトタイプは封じ込められた実験環境の外では機能しない。
「誤報だった」と片づけるのも、「発見だった」と誇るのも、どちらも正確ではない。主張ごとに当否を分けて見る。
| 初報の主張 | 現在 | 根拠 |
|---|---|---|
| 実際の攻撃では観測されていない、PoC または開発途上とみられる | 維持 | NYU の説明により裏付けられた。ESET 自身も追記で「我々の見解を裏付ける」としている |
| Golang 製、gpt-oss-20b を Ollama 経由でローカル利用、Lua を動的生成、SPECK 128ビットで暗号化 | 維持 | 技術的な観測であり、作者が誰であるかに左右されない |
| Windows / Linux の検体が VirusTotal 上にあった | 維持 | SHA-1 が7件公開されている |
| これは攻撃者の作品である（明示されていないが「発見」という枠組みが含意） | 訂正 | 作成者は NYU Tandon の研究チーム。試験手順の一環で VirusTotal に投稿していた |
| 「既知で初の AI 駆動型ランサムウェア」 | 係争中 | ESET は追記後も維持（検体としては存在するという論理）。一方 NYU は「実験室の概念実証研究」と位置づける。語の解釈の問題として残っている |
研究チームは倫理指針に従い、統制環境で作業し、VirusTotal に検体を上げた——これは「検知されるかを研究者が試す」という同プラットフォーム本来の用途に沿った運用である。ESET は上がってきた検体を解析し、慎重に PoC と注記したうえで公表した。双方とも手順を外していない。にもかかわらず出自の誤認は起きた。共有基盤の側に、研究用検体と実脅威を区別する仕組みがないからである。
この事案でよく引かれる論点だが、何が変わって何が変わらないのかを分けないと、過剰な結論になる。
NYU の研究チームは、対策として次の3点を挙げている。機微なファイルへのアクセスパターンの監視／外向きの AI サービス接続の制御／AI 生成の攻撃挙動に特化した検知能力の開発。いずれも特定製品に依存しない、設計レベルの指針である。2つ目は、本サイトで扱った他の事案（マルウェアが正規の AI API を C2 のように使う例）とも共通する論点にあたる。
※ 引用で示した箇所は発表者・研究者の見解、それ以外は編集部の解釈であり、一次情報に明記された結論ではありません。
この事案から持ち帰るべきは「AI ランサムウェアが現れた」ではない。研究者が実験室で組んだプロトタイプが、専門の解析者に実際の攻撃者の作品と映るほどの完成度に達していたという一点である。しかも1回の実行にかかった AI 費用は約0.70ドル、オープンソースモデルを使えばそれも不要になる。
VirusTotal は本来、検体が検知されるかを研究者が試す場である。そこに研究用 PoC を上げるのは想定内の使い方だが、上がった検体に「これは研究用である」と示す枠組みは用意されていない。AI を使った攻撃研究が増えるほど、この曖昧さは脅威インテリジェンスの精度に効いてくる。
英語版の記事には日付入りの追記が本文冒頭に置かれている。一方、日本語プレスリリースには同等の記載が見当たらない（2026年8月1日確認）。初報は各言語へ迅速に展開されるが、訂正は同じ速度で追随するとは限らない。海外ベンダー発の脅威情報を扱う際は、原語版の更新履歴まで当たる価値がある。
研究チームの推奨のうち、最も汎用的なのは「外向きの AI サービス接続の制御」である。業務端末から LLM API への通信は今や日常的で、宛先の善悪では判断できない。どの端末のどのプロセスが AI サービスを呼んでいるかを把握できているか——ここは AI マルウェアの是非とは独立に、いま整備しておける項目にあたる。
「初の AI ランサムウェアが発見された」という見出しで広まった事案だが、実体は大学の研究プロトタイプであり、被害者は存在しない。発表元の ESET は当初から概念実証と注記しており、誤っていたのは出自の推定だけだった。それでもこの件が示した事実は軽くない——約0.70ドルの計算費用で、ランサムウェア攻撃の4段階すべてを自動で回すプロトタイプが、専門家に本物と見分けがつかない水準で成立している。いま検討すべきは AI 対策製品の購入ではなく、業務端末から外部 AI サービスへの通信を把握・制御できる状態にあるかどうかの確認である。