エージェント型AIランサムウェアがLangflowの脆弱性CVE-2025-3248を悪用

AIインフラが次のランサムウェアの標的に

新たに文書化された攻撃パターンが、セキュリティチームのランサムウェアに対する考え方を根本から変えつつある。VeracodeのCISO向けエグゼクティブブリーフィングによると、研究者らはエージェント型ランサムウェアとも呼べる攻撃を特定した。それは、人間のオペレーターが手動で各ステップを進めるのではなく、大規模言語モデル（LLM）が自律的に脆弱性の悪用を遂行するというものだ。

この活動の中心にある脆弱性はCVE-2025-3248であり、AIワークフローを構築・オーケストレーションするために使われるオープンソースツール「Langflow」の欠陥である。従来の攻撃チェーンでは、人間の脅威アクターが初期アクセスから身代金要求までゆっくりと進行するのに対し、今回のキャンペーンではLLM駆動のプロセスが脆弱性の悪用、認証情報の発見、ラテラルムーブメント、データ破壊を矢継ぎ早に処理する。その結果、従来のインシデント対応プレイブックでは対応しきれない速度で攻撃が進行する。

Langflow攻撃チェーンの内部

ブリーフィングでは、Langflowの脆弱性を自律的に悪用するところから始まる多段階のシーケンスが概説されている。そこから認証情報の発見へと進み、攻撃者は環境内でのアクセス権を拡大する。続いてラテラルムーブメントが行われ、侵害されたAIインフラに接続された追加のシステムへと手を伸ばす。

内部に侵入すると、攻撃はAIアーティファクトとデータベースを直接標的にし、それらを暗号化して関連テーブルを削除した後、身代金要求を行う。これは注目に値する。なぜなら、組織がますます依存するようになっているモデル、データセット、サポート用データベースといったAIインフラそのものを、人質に取る価値のある主要資産として扱っているからだ。AIフレームワーク上に製品、パイプライン、内部ツールを構築している企業にとって、これは単なるデータ漏洩リスクではなく、事業継続性への直接的な脅威となる。

プライバシーとセキュリティの専門家にとってこの展開が重要なのは、攻撃のタイムラインが圧縮される点にある。LLMが偵察、悪用、恐喝のステップを自律的に連鎖させることができる場合、防御者が検知して対応する猶予は大幅に縮まる。また、経験豊富な人間のオペレーターが以前は必要としていた複雑で多段階の恐喝キャンペーンを、それほど高度でない攻撃者でも実行できるよう、技術的な障壁が引き下げられる。

サプライチェーンのスピードがこれまで以上に重要である理由

このインシデントは孤立した出来事ではない。攻撃の自動化が攻撃そのものと侵害の規模の両方を加速させるという、より大きなトレンドを反映している。メガロドン攻撃、6時間で5,561のGitHubリポジトリを侵害 キャンペーンでも同様のダイナミクスが展開され、攻撃者は自動化ツールを使って、短時間のうちに膨大な数のリポジトリに何千もの悪意あるコード更新をプッシュした。自動化がスクリプト化されたCI/CDの悪用によるものか、LLMが独立して攻撃チェーンを実行するものかにかかわらず、根底にある教訓は同じだ。すなわち、防御側はもはや、エクスプロイトが利用可能になった後、対応に数日から数週間かけられるとは想定できない。

この緊急性は、パッチ管理の基本にも改めて重点を置かせる。攻撃ツールが高度化しても、これらのキャンペーンの多くは依然として、標的環境でまだパッチが適用されていない、既知の開示された脆弱性から始まる。マイクロソフト自身の1回の更新で過去最多の570件のバグを修正し、2件のゼロデイが悪用された事例が示す最近のパッチサイクルの規模は、セキュリティチームが最新の状態を保つためにカバーしなければならない範囲の広大さを物語っている。LangflowのようなAIフレームワークを運用する組織は、これらのツールの脆弱性開示を、従来コアインフラソフトウェアにのみ向けられていたのと同じ緊急性をもって扱う必要がある。

これがあなたにとって意味すること

あなたの組織がLangflowまたは類似のAIオーケストレーションツールを使用しているなら、この展開はCVE-2025-3248に対するパッチ適用状況を確認し、AIシステムの周囲に認証管理とネットワークセグメンテーション制御が確実に導入されていることを確認するよう直接促すものだ。特にLangflowだけの話ではなく、より広範な教訓が当てはまる。モデルリポジトリ、トレーニングデータベース、パイプラインオーケストレーションツールを含むAIインフラは、今やランサムウェアオペレーターに認識された標的であり、従来の本番システムをカバーするのと同じ資産台帳、バックアップ戦略、インシデント対応計画に含めるべきである。

AIツールを試している個人ユーザーや小規模チームにとっての教訓も、規模は小さくとも似たようなものだ。セルフホスト型のAIツールはすべて速やかに更新し、必要な場合にのみ公開し、インターネット向けのサービスを監視するのと同じように監視すべきである。

実践可能な対策

• Langflowをデプロイしている環境では、CVE-2025-3248に直ちにパッチを適用し、標準の変更管理プロセスを通じて更新を確認する。
• データベース、モデルアーティファクト、オーケストレーションツールを含むすべてのAIインフラを棚卸しし、バックアップとディザスタリカバリ計画に明示的に含める。
• 攻撃チェーンが初回悪用後の認証情報発見に大きく依存しているため、AIシステム周りの認証管理を強化する。
• 侵害が発生した場合のラテラルムーブメントを制限するため、AIインフラをより広範な企業ネットワークからセグメント化する。
• 人間のペースの敵対者行動を前提とするのではなく、より高速で自動化された攻撃タイムラインを考慮するよう、インシデント対応プレイブックを見直す。

エージェント型ランサムウェアは依然として新興のカテゴリだが、このキャンペーンで示された速度と自律性は、セキュリティチームが脅威のさらなる成熟を待つのではなく、今すぐ適応する必要があることを明確に示している。パッチの最新適用、AIシステムのセグメント化、AIインフラを重要ビジネス資産として扱うことは、すべての組織が今日すぐに実施できる実践的な措置である。