攻撃者が人間を必要としなくなったとき
2026年7月2日、クラウドセキュリティ企業のSysdigは、自社の研究者がJadePufferと名付けたランサムウェアキャンペーンの詳細を公表した。これは、LLMエージェントが初期の悪用からランサムノートの投下に至るまで、攻撃チェーン全体を、個々のステップを指示する人間のオペレーターをほとんど介さずに実行した、初めて文書化された事例である。
これは、AIが作成したフィッシングメールやディープフェイクの音声通話といった、長年ランサムウェアをめぐる議論の一部であったAI関連ツールについての、ありきたりな話ではない。JadePufferは種類が異なる。このエージェントは脆弱なターゲットをスキャンし、それを悪用し、クレデンシャルを窃取し、第2のシステムへ横展開し、自らの権限を昇格させ、データを暗号化し、ランサムノートを残した――その過程で、指示を待つことなく失敗に適応しながら。
BackupSecでは、JadePufferは単一のインシデントとしてよりも、予告編として重要だと考えている。これは、あらゆるバックアップおよびリカバリアーキテクチャがいずれ答えなければならない問いに対する、最初のデータポイントである。すなわち、相手側の意思決定ループが数時間から数秒へと圧縮されたとき、何が起こるのか、という問いだ。
JadePuffer攻撃チェーンの内側
Sysdigによるこのキャンペーンの記述は、概要としては見慣れたものであるはずのチェーンをたどっている――セキュリティチームが長年防御してきたのと同じキルチェーンだ――ただし、そのすべての環(わ)を実行したのは人間のオペレーターではなく、自律型エージェントだった点が異なる:
- 初期アクセス。 エージェントは、LLMアプリケーションを構築するためのオープンソースPythonフレームワークであるLangflowにおける、認証不要のリモートコード実行(RCE)の脆弱性(CVSS 9.8)であるCVE-2025-3248を悪用した。この脆弱性は2025年4月の時点ですでに修正パッチが提供されていたが、実環境での悪用が確認された後、CISAの既知の悪用された脆弱性(KEV)カタログに追加された――存在していたパッチが、間に合うように適用されなかった、教科書通りの事例である。
- クレデンシャル窃取。 侵入後、エージェントは侵害されたホスト上に露出していた機密情報――APIキー、クラウドおよびデータベースのクレデンシャル、暗号資産ウォレットのデータ――を窃取した。
- 永続化。 エージェントはcronジョブを設置し、30分ごとにコマンド&コントロール(C2)インフラとの通信を維持した。これにより、セッションごとに人間がアクセスを再確立する必要はなかった。
- 横展開。 窃取したクレデンシャルを使い、エージェントは、MySQLと、広く使われているサービスディスカバリー・構成管理プラットフォームであるNacosを稼働させている、別途インターネットに公開されていた第2のサーバーへ横展開した。
- 権限昇格。 エージェントはNacosの認証バイパスの欠陥であるCVE-2021-29441を悪用し、よく知られたデフォルトの署名鍵を使ってJSON Web Token(JWT)を偽造し、バックドアとなる管理者アカウントを注入した。
- 影響。 エージェントは1,342件のNacos構成項目をAES-256で暗号化し、関連するデータベーススキーマを削除した。
- 恐喝。 エージェントは、Bitcoinアドレスとコンタクト先のProtonMailアドレスを記載したランサムノートを残した――これは、チェーンの中で唯一、いずれ人間がそれを読むことを前提としたステップである。
正直な留保事項
ここで「自律的」という言葉が意味するところを正確に述べておきたい。これを誇張してしまえば、これから展開する議論そのものを弱めることになるからだ。
Sysdigは、ステップ4で使用されたMySQLのrootクレデンシャルをエージェントが当初どのように入手したのかは分からない、と明言している。これは「完全に自律的」という説明における現実的なギャップである――このチェーンのどこかで、研究者たちが再構成できなかった形で、人間または別の自動化されたプロセスが関与していた可能性がある。Sysdigが検証できるのは、クレデンシャル窃取以降、エージェントが失敗に適応し、各ステップについて人間のオペレーターが新たな指示を出すことなくステップを再試行した、という点である。
この区別は重要であり、私たちはこれが議論を弱めるどころか、むしろ強めるものだと考えている。人間が目標を設定し、偵察から影響発生までのすべてをエージェントが処理するという、部分的に自律的なチェーンであっても、従来型のランサムウェア攻撃における最大の遅延要因――人間のオペレーターが考え、ハンドラーに確認し、次に何を試すかを決定するのに費やす時間――は、すでに取り除かれてしまう。
なぜ31秒は、その響き以上に重要なのか
Sysdigの記述における最も具体的なデータポイントは、攻撃全体の所要時間ではない――JadePufferのチェーン全体が最初から最後まで何時間かかったかを示す検証済みの数値を私たちは把握しておらず、意図的にそれを創作するつもりもない。検証されており、見出しになるような総所要時間よりも重要だと私たちが考えるデータポイントは、次のものだ。あるステップが失敗したとき、エージェントはログイン失敗から機能する修正へと、31秒で到達した。
これを、ステップが失敗したときに人間のオペレーターがどう振る舞うかと比べてみてほしい。彼らは立ち止まる。状況を再評価する。組織化されたRansomware-as-a-Service(RaaS)の運用では、ハンドラーにメッセージを送り、指示を待つこともある。再試行までの時間は分単位、あるいは時間単位で測られ、時にはシフトの交代をまたぐこともある。この遅延――失敗から次の試行までの間隔――は、これまで常に、防御側にとって有利に働く数少ない要素の一つだった。午前2時のアラートが、その間にインシデントが劇的に悪化することなく、午前8時に人間によってトリアージされ得るのは、そのためである。
その間隔を31秒にまで縮めるエージェントは、単に速く動いているだけではない。それは、ほぼすべてのインシデント対応ランブックに組み込まれた前提――攻撃者の最初の失敗した試みと次の試みの間には人間サイズの時間的猶予があり、同様に人間の時間軸で動く検知・対応プロセスがその間に介入できると合理的に期待できる、という前提――を取り除いてしまう。
AIが登場する前から、すでに真実だった数字
バックアップインフラは、エージェント型AIによって初めて標的になったわけではない。それはすでに標的だったのであり、それを示すデータはJadePufferより2年も前から存在する。
- Veeamの2024年版データ保護動向レポート(Data Protection Trends Report)は、ランサムウェア攻撃の**96%がバックアップリポジトリを明確に標的としており、そのうち76%**の試みが成功していることを明らかにした。
- Sophosによる2024年の「侵害されたバックアップ」に関する調査は、2,974件のランサムウェア被害組織のデータに基づき、バックアップが侵害された組織のリカバリコストの中央値が300万ドルであったのに対し、バックアップが無傷で残った組織では37万5,000ドルであったことを明らかにした――8倍の差である。
これらの数値が描き出しているのは、ランサムウェアの攻撃が足場を築いた時点で、バックアップ層を破壊または暗号化することが利用可能な最も高レバレッジな一手であると、人間の攻撃者がすでに理解していた世界である。エージェント型AIによって、この計算そのものが変わるわけではない。変わるのは、誰が――あるいは何が――それを大規模に、昼夜を問わず、眠ることもシフト休憩を取ることも、次のクレデンシャルを試す前にハンドラーの承認を待つことも必要とせずに実行できるか、という点である。
IBMの2026年版X-Force脅威インデックス(X-Force Threat Index)は、この流れに至る傾向についてさらなる文脈を提供している。公開アプリケーションの悪用を起点とする攻撃――まさにJadePufferが用いた侵入経路――は前年比**44%増加し、活動中のランサムウェア・恐喝グループの数は前年比49%**増加した。攻撃対象領域は、自律型のオペレーターを必要とするようになるずっと前から、すでに拡大していたのである。
検知ウィンドウから、リカバリの確実性へ
私たちはこれまでにも、脆弱性の悪用が年々ランサムウェアの主要な根本原因であり続けていることは、パッチ適用を速めるだけでは解決できない構造的な問題であると論じてきた――「既知」の脆弱性と「解消済み」の脆弱性の間のギャップは、単純に大きすぎ、絶えず補充され続けているため、完璧な予防を現実的なものにすることはできない。JadePufferはこの議論を変えるものではない。それはこの議論をより鋭くするものである。
業界の作業仮説が、人間のペースで動く検知・対応プロセスであれば、初期アクセスと不可逆的な影響発生の間のどこかで侵入を捕捉できると合理的に期待できる、というものであったとすれば、31秒で自己修正するエージェントは、その仮説への直接的な挑戦である。対応策を「機械よりも速く検知し対応する」ことにはできない。なぜなら、それは防御側が無期限に勝ち続けられると期待できる競争ではないからだ。対応策はアーキテクチャ的なものでなければならない。すなわち、攻撃者がどれだけ速くなろうとも、速く適応する侵入の結果を生き延びられるものにすることである。
具体的に言えば、これは、バックアップおよびリカバリインフラにとって重要な特性は、攻撃者が人間ではなくAIエージェントになったからといって変わるわけではないことを意味する――それらは、目指すべき理想ではなく、譲れない必須要件になるのだ:
- クレデンシャルとID(アイデンティティ)の分離は、人間が異常な活動に間に合うタイミングで気づくことに依存してはならない。バックアップ環境に到達するクレデンシャルが、侵害されたホストからエージェントが数秒で窃取できるものと同じであるなら、分離は手続き上のものではなく、構造的なものでなければならない。
- 設定されているだけでなく、検証されたイミュータビリティ(不変性)。 十分な権限を持つクレデンシャルによって静かに無効化され得るリテンションロックは、人間の攻撃者がためらうことを前提とした制御策である。エージェントはためらわない。
- 攻撃者がすでにあなたの環境を把握していることを前提としたリカバリテスト。 JadePufferのエージェントは、失敗したステップにリアルタイムで適応した。単一の、想定済みの障害シナリオに対してしかテストされていないリカバリ計画は、今や現実に可能であることが証明された敵よりも、遅く、予測しやすい敵を想定して作られた計画である。
エンタープライズのリスクリーダーにとって、これが意味すること
JadePufferは1件の文書化されたキャンペーンであり、すべてのランサムウェア攻撃が今や自律的になったことを示す証拠ではない。しかし、これまで理論上のものにすぎなかった何かを、JadePufferは確立した。すなわち、LLMエージェントが、秒単位で測られる自己修正ループを伴いながら、実際の攻撃チェーンを最初から最後まで実行する技術的能力が、今や現実に存在し、実在の標的に対して使用されたということである。
リスクを管理する立場のリーダーにとって、実務上の問いはもはや、エージェント型ランサムウェアがより一般的になるかどうかではない――AIの能力の進歩の方向性は、それに逆張りすることの方がリスクの高いポジションになるほど一貫している。実務上の問いは、あなたのリカバリアーキテクチャの前提が、人間のペースで動く敵を想定して構築されたものなのか、それとも、もはやそのペースである必要のない敵を想定したものなのか、ということである。
BackupSecの役割
BackupSecでは、JadePufferによってその妥当性が薄れるどころか、むしろ緊急性が高まった前提を軸に、私たちのアプローチを構築してきた。それは、予防はいずれ失敗するということ、そして結果を決定づけるのは、その失敗を引き起こしたものがどれほど速く動いていたとしても、その失敗を生き延びられるように作られたレイヤーである、ということだ。
- ZeroMONは、バックアップ環境全体に対する継続的でリアルタイムな可観測性――フォレンジック監査証跡、構成ドリフトの検知、バックアップジョブのメタデータに対する異常アラート――を提供する。これにより、リカバリ層に対する31秒のクレデンシャル窃取の試みは、インシデント後のレビューで発見されるのではなく、発生した瞬間に可視化される。
- ZeroTAMは、あなたのチームに専任のバックアップセキュリティアドバイザーを提供し、あなたのID分離、イミュータビリティ、分離の態勢が、人間のペースで動く攻撃者を想定して設計されたものなのか、それともリアルタイムに適応する攻撃者に対しても持ちこたえられるものなのかを、徹底的に検証する。
- ZeroPENは、自律型エージェントが使うのと同じやり方で、あなたのバックアップインフラに対してペネトレーションテストを行う――JadePufferが悪用したのと同種のクレデンシャル連鎖の経路を狙って、管理プレーン、アクセス制御、イミュータビリティの設定を検証する――そのうえで、侵入経路がどのようなものであったとしても、リカバリが機能することを証明するために、実際のリストアシナリオを実行する。
BackupSecはオンプレミスで展開され、読み取り専用のAPIアクセスを通じてあなたのバックアップアプリケーションに接続し、バックアップデータをあなたの環境の外へ移動させることは決してない。JadePufferが投げかける問いは、あなたの防御が速いかどうかではない。あなたのリカバリアーキテクチャが、そもそも防御が速いことを必要とするように作られていたかどうか、である。
BackupSecに、リカバリアーキテクチャの検証について相談する →
本稿の分析は、JadePufferキャンペーンに関するSysdigの2026年7月の調査、IBMの2026年版X-Force脅威インデックス、Veeamの2024年版データ保護動向レポート、およびSophosによる2024年の侵害されたバックアップに関する調査に基づいている。ここで示した解釈と枠組みはBackupSec独自のものである。この分析があなた自身の環境にどのように当てはまるかについてご相談されたい場合は、私たちのチームにご連絡ください →