AIエージェントが攻撃の全工程を自律実行

Sysdigのセキュリティ研究者は、ほぼ完全に自律型AIエージェントによって実行されたランサムウェア攻撃という新たな事例を記録したと発表した。この攻撃では、人間のオペレーターがリアルタイムで侵入を指示することはなかった。Sysdigが「JADEPUFFER」と名付けたこのキャンペーンは、AIワークフロー構築用のオープンソースツール「Langflow」に存在するリモートコード実行の脆弱性（CVE-2025-3248として追跡）を悪用した。標的環境に侵入した後、AIエージェントは単にスクリプトを実行するだけではなかった。偵察、認証情報の窃取、ラテラルムーブメント、そして最終的な恐喝といった攻撃の各段階を、自律的に推論しながら進めたのだ。

この調査によると、エージェントは窃取した認証情報を使って設定管理サービス「Nacos」を乗っ取り、恐喝の一環として1,342件の設定項目を組織的に暗号化し、データベーススキーマを削除した。各段階で人間がクリック操作を行うことなく、これほどまでに連携した多段階の行動が実行された点が、この事例を注目に値するものとしている。ランサムウェア攻撃には常に何らかの手動の指揮が必要だったが、この攻撃はその大部分が自律的に行われたように見える。

過去のAI支援型攻撃との違い

AIはしばらく前からサイバー犯罪に浸透していたが、ほとんどは自律的なオペレーターとしてではなく、人間の攻撃者の生産性ツールとして使われてきた。2025年8月、研究者たちは「Ransomware 3.0」と名付けた概念実証を発表し、AIモデルが理論上、攻撃を計画・実行する方法を示した。これは現実のインシデントではなく、これから起こり得ることへの警告の一発だった。

その警告はすぐに現実のものとなった。同じ頃、Anthropicは、攻撃者が同社のClaude Codeツールを使って少なくとも17の組織を侵害した実際の恐喝キャンペーンを公表し、身代金の要求額は50万ドルを超えたと報じられた。重要なのは、その作戦では依然として人間が指揮を執り、AIを独立して行動させるのではなく、戦力倍増装置として利用していた点だ。さらに2025年11月、Anthropicはさらに踏み込み、同社が「初のほぼ自律的なサイバー攻撃」と呼ぶ事例を説明した。中国国家に関連するスパイ活動キャンペーンで、Claudeがエクスプロイトの作成やデータの持ち出しに利用され、人間の関与は最小限だったという。

JADEPUFFERは同じ流れに位置づけられるが、スパイ活動ではなく金銭目的の犯罪へとさらに一歩進んでいる。AIが人間の攻撃者を支援するのではなく、エージェントが偵察、エクスプロイト、認証情報の収集、暗号化を、途切れることのない自己主導型のプロセスとして処理したように見える。防御側にとっては、これにより初期侵入から本格的な恐喝に至るまでの時間枠が短縮される。これまでは、その時間枠がセキュリティチームに侵入を捕捉し封じ込める機会を与えていた。

自律型攻撃がもたらすプライバシーへの影響

ここでのプライバシーへの影響は、技術的な新しさ以上のものだ。AIエージェントが人間の意思決定を待たずに、自律的に価値あるデータを特定し、認証情報を収集し、システム間を横移動できる場合、侵害の規模と速度は組織の対応能力を上回る可能性がある。今回の攻撃で標的となったデータベーススキーマや設定データには、個人情報をシステム間で結びつける結合組織のようなものが含まれていることが多い。ユーザー記録、アクセス許可、さらに機密性の高いデータへの鍵となるサービス認証情報などだ。

この点が重要なのは、AIが登場する以前から、IDや認証情報の窃取がすでに広範な問題となっているからだ。最近の業界レポートによると、2025年には世界中の組織の71%がID関連の侵害を少なくとも1回経験したといい、盗まれたり悪用されたりした認証情報が、より大規模な侵害の侵入口となる頻度の高さが浮き彫りになっている。脆弱性を突き、それらの認証情報を収集し、人間による確認を待たずにラテラルムーブメントを行う自律型エージェントは、すでにセキュリティチームを限界まで追い込んでいた傾向を加速させるだけだ。

これは何を意味するのか

LangflowやNacos、あるいは同様のオープンソースツールに触れるインフラを運用している場合、CVE-2025-3248のような既知の脆弱性に迅速にパッチを適用することは、もはや任意の管理作業ではない。人間が監視するインシデント対応プロセスが捕捉するよりも早く、初期アクセスから完全な暗号化へと進行し得る攻撃に対する、直接的な防御線となる。一般ユーザーにとっての実践的な教訓は、この特定のツールに関するものというよりは、それが表すより広範な変化にある。つまり、AI駆動型の攻撃が成熟するにつれて、認証情報の窃取や個人データの露出を伴う侵害は、より速く、より大規模に発生する可能性が高いということだ。

実践可能な対策

  • インターネットに公開しているツール、特にリモートコード実行の脆弱性が文書化されているLangflowのようなオープンソースプラットフォームには、速やかにパッチを適用する。
  • 認証情報の窃取は「起こるかどうか」ではなく「いつ起こるか」の問題と想定し、パスワードマネージャーで一意かつ強力なパスワードを使用し、可能な限り多要素認証を有効にする。
  • 通常と異なるアカウントのアクティビティを監視し、自分のメールアドレスに関連付けられた侵害通知アラートを有効にする。
  • 組織は、自律型AIエージェントを単なる仮説上の将来リスクとしてではなく、インシデント対応計画における新たな脅威アクターのカテゴリーとして扱うべきである。

JADEPUFFERの事例は、自律型AIランサムウェアが研究論文から現実のインシデントへと移行したことを示す強いシグナルだ。それに先手を打つには、基本に立ち返ることだ。既知の欠陥にパッチを当て、認証情報を保護し、人間であれAIであれ、攻撃者はかつてないほど速く動いていると想定する。