攻撃者が人間を必要としなくなったとき
2026年7月1日、Sysdig Threat Research Teamは、同社がJADEPUFFERと名付けたランサムウェア攻撃の分析を公開しました。Sysdigの言葉を借りれば、これは「what we assess to be the first documented case of agentic ransomware: a complete extortion operation driven end-to-end by a large language model (LLM).」（訳：私たちの評価では、エージェント型ランサムウェアとして初めて記録された事例であり、大規模言語モデル（LLM）によってエンドツーエンドで実行された完全な恐喝オペレーションである）です。
これは、AIが書いたフィッシングメールやディープフェイクの音声通話をめぐる、よくある話ではありません。Sysdigが捕捉したペイロードでは、エージェントはインターネットに公開されたアプリケーションを悪用し、認証情報を収集し、2台目のサーバーに移動し、その構成サービスを乗っ取り、データを暗号化して削除し、身代金の要求を残しました。ある手順が失敗すると、エージェントはその失敗を診断し、指示を待たずに再試行しました。
BackupSecは、JADEPUFFERが重要なのは単一のインシデントとしてよりも、これから来るものの予告としてだと考えています。これは、あらゆるバックアップ・リカバリアーキテクチャがいずれ答えなければならない問いに対する、初期のデータポイントです。その問いとは、相手側の意思決定ループが数時間から数秒に縮まったら何が起きるのか、というものです。
JADEPUFFERの攻撃チェーンの内側
概略だけを見れば、これはセキュリティチームが何年も防御してきたキルチェーンです。Sysdig自身もそう述べています。「None of the individual techniques were novel or sophisticated.」（訳：個々の手法はどれも新しくも高度でもなかった）。新しかったのは、それを実行した主体です。以下の流れはSysdigのレポートに沿っています。
- 初期アクセス。 エージェントは、LLMアプリケーションを構築するためのオープンソースのフレームワークであるLangflowのCVE-2025-3248を悪用しました。NVDはこれを
/api/v1/validate/codeエンドポイントにおけるコードインジェクションとして説明しており、「a remote and unauthenticated attacker」（訳：リモートの認証されていない攻撃者）が任意のコードを実行できるとしたうえで、CVSSスコアを9.8としています。修正は2025年3月31日のLangflow 1.3.0で提供され、CISAは2025年5月5日にこの欠陥をKnown Exploited Vulnerabilitiesカタログに追加しました。パッチは存在していましたが、適用されていなかったのです。 - 認証情報の収集。 Langflowのホスト上で、エージェントはシステムを列挙し、LLMプロバイダーのAPIキー、クラウドの認証情報、暗号資産ウォレット、データベースの認証情報を求めて環境を洗い出したうえで、Langflow自体のPostgresデータベースをダンプしました。さらに、そのホストから到達可能なMinIOオブジェクトストアを見つけ、MinIOのデフォルトの認証情報（
minioadmin:minioadmin）でログインし、バケットを一覧表示しました。Sysdigによれば、そこには「application data, backups, ML artifacts, and a terraform-state bucket.」（訳：アプリケーションデータ、バックアップ、MLアーティファクト、そしてterraform-stateのバケット）が含まれていました。エージェントはそのうちの1つから、アクセスキーとシークレットのペアを含むcredentials.jsonファイルを取得しました。 - 永続化。 Langflowのホストにcrontabのエントリを設置し、30分ごとに攻撃者のインフラにビーコンを送信するようにしました。
- 本当の標的への移動。 Sysdigによると、この攻撃の本当の標的は、MySQLとAlibabaのNacos構成サービスを稼働させている、インターネットに公開された別の本番サーバーでした。エージェントは公開されたMySQLポートにrootとして接続しました。このroot認証情報の出どころを、Sysdigは観測していません。「Their origin is unknown.」（訳：その出どころは不明である）。
- Nacosの乗っ取り。 エージェントはNacosを複数の経路から同時に攻撃しました。CVE-2021-29441系統の認証バイパス（NVDによれば、1.4.1より前のNacosでは、偽装したuser-agentヘッダーによって認証フィルターを迂回できる）、Nacosの公開文書に記載されているデフォルトの署名鍵で偽造したJSON Web Token、そしてroot権限でNacosのデータベースに直接書き込んだバックドアの管理者アカウントです。JWTの経路は失敗し（「custom secret in use」（訳：カスタムのシークレットが使用されている））、放棄されました。バックドアのアカウントは、後述する31秒の修正を経て機能しました。
- 影響。 エージェントはMySQLの
AES_ENCRYPT()を使ってNacosの構成項目1,342件すべてを暗号化し、元の構成テーブルと履歴テーブルを削除し、さらにデータベーススキーマ全体の削除にまで進みました。身代金要求のメモはAES-256だと主張していますが、Sysdigは、サーバーの設定が変更されていない限りAES_ENCRYPT()のデフォルトはAES-128-ECBであると指摘しています。リカバリにとってより重要なのは次の点です。鍵は一度表示されただけで、保存も送信もされませんでした。そのため、Sysdigの言葉では「The victim cannot recover the encrypted configurations even with payment.」（訳：被害者は、身代金を支払っても暗号化された構成を復元できない）。そのデータを取り戻せるのは、攻撃前に取得され、攻撃者の手の届かない場所に保管されていたコピーだけでした。 - 恐喝。 要求内容、Bitcoinアドレス、Proton Mailの連絡先を記載した
README_RANSOMテーブルを作成しました。
率直な注意点
ここでいう「自律型」が何を意味するのかは、正確にしておきたいと思います。それを誇張すれば、これから私たちが展開する議論を損なうことになるからです。
Sysdigは、自らが見ることのできない点を2つ挙げています。第一に、エージェントが手順4で使ったMySQLのroot認証情報をどのように入手したのかを観測していません。第二に、Sysdigには「no visibility into JADEPUFFER's system prompt or agent configuration」（訳：JADEPUFFERのシステムプロンプトやエージェントの構成は見えていない）ため、実行前に人間がエージェントにどのような目的やリソースを与えたのかはわかりません。誰かがこのエージェントを構築し、設定し、起動したのです。
Sysdigが記録しているのは、捕捉したセッション内での振る舞いです。600を超える異なるペイロード、自らの推論を語りながら進むコード、そして数秒のうちに診断され修正された失敗です。この証拠に基づき、Sysdigは「the evidence points to an autonomous agent driving the operation rather than a human operator or a fixed toolkit.」（訳：証拠は、人間のオペレーターや固定されたツールキットではなく、自律型エージェントがこの攻撃を動かしていたことを示している）と結論づけています。
この区別は重要です。そして私たちは、それが議論を弱めるのではなく、むしろ強めると考えています。人間が目的を設定し、エージェントが実行を担う攻撃チェーンであっても、従来のランサムウェア攻撃における最大の遅延要因が取り除かれます。それは、人間のオペレーターが考え、ハンドラーに確認し、次に何を試すかを決めるのに費やす時間です。
31秒が見た目以上に重要な理由
31秒は攻撃全体の所要時間ではありません。Sysdigはこの攻撃チェーン全体の所要時間を公表しておらず、私たちもあえてそれをでっち上げるつもりはありません。Sysdigが公表しているのは、Nacosの乗っ取りにおけるタイムスタンプ付きの一連の流れです。エージェントはバックドアの管理者アカウントを挿入し、19:34:36（UTC）にログインを試みて失敗しました。考えられる2つの原因を並行してテストし、19:35:07に15行の修正ペイロードを発行して、アカウントを正しく作り直しました。ログインは19:35:18に成功しました。Sysdigの言葉では、「The window between the failed login and the correct multi-step fix is 31 seconds.」（訳：ログインの失敗から、正しい複数手順の修正までの時間は31秒である）。Sysdigは、同じセッションの別の場面でも同じパターンを報告しています。リクエストがJSONではなくXMLを返したときには、次のペイロードがXMLを解析しました。DROP DATABASEが外部キー制約によって失敗したときには、次のペイロードがまずその制約チェックを無効にしました。
これを、手順が失敗したときの人間のオペレーターの振る舞いと比べてみてください。彼らは手を止めます。状況を見直します。組織化されたRansomware-as-a-Serviceの攻撃であれば、ハンドラーにメッセージを送って指示を待つこともあるでしょう。そして、数分から数時間、ときにはシフトの交代をまたぐ時間軸で再試行します。この遅延、つまり失敗から次の試行までの間隔は、これまで常に防御側に有利に働く数少ない要素の1つでした。午前2時のアラートを午前8時に人間がトリアージしても、その間にインシデントが必ずしも劇的に悪化しているとは限らないのは、このためです。
その間隔を31秒にまで縮めるエージェントは、単に速く動くだけではありません。ほぼすべてのインシデント対応ランブックに組み込まれている前提を取り除いてしまいます。それは、攻撃者の最初の失敗した試行と次の試行との間には人間のスケールの時間枠があり、同じような人間の時間軸で動く検知・対応プロセスであれば、その時間枠の中で介入できると十分に期待できる、という前提です。
AIが登場する前からすでに真実だった数字
バックアップ基盤は、エージェント型AIのせいで標的になったわけではありません。以前からすでに標的であり、それを示すデータはJADEPUFFERより2年前にさかのぼります。
- Veeamの2024 Ransomware Trends Reportは、2023年に少なくとも1回ランサムウェア攻撃を受けた組織の回答者1,200人を対象とした調査で、「backup repositories are targeted in 96% of attacks, with bad actors successfully affecting the backup repositories in 76% of cases.」（訳：バックアップリポジトリは攻撃の96%で標的にされ、76%のケースで攻撃者がバックアップリポジトリに影響を与えることに成功した）と報告しています。Veeamは自社のブログでもこの96%という数字を繰り返しています。
- 侵害されたバックアップに関するSophosの2024年の調査は、前年にランサムウェアの被害を受けた組織に所属するITおよびサイバーセキュリティの専門家2,974人から得たデータに基づくもので、「The median overall ransomware recovery costs for organizations whose backups were compromised ($3M) came in eight times higher than that of organizations whose backups were not impacted ($375K).」（訳：バックアップが侵害された組織のランサムウェアからの復旧にかかった総コストの中央値（300万ドル）は、バックアップが影響を受けなかった組織（37万5,000ドル）の8倍に達した）と報告しています。
これらの数字が描いているのは、ランサムウェア攻撃が足場を得た後にとれる最もレバレッジの高い一手が、バックアップのレイヤーを破壊または暗号化することだと、すでに理解していた人間の攻撃者の世界です。エージェント型AIは、この計算を何も変えません。変わるのは、誰が、あるいは何が、それを大規模に、昼夜を問わず、眠ることも、シフトの休憩を取ることも、次の認証情報を試す前にハンドラーの承認を待つこともなく実行できるかという点です。
IBMの2026 X-Force Threat Intelligence Indexは、その傾向を示すデータを加えています。IBM X-Forceは、公開アプリケーションの悪用から始まった攻撃が44%増加したことを観測しました。これはまさにJADEPUFFERが使った侵入経路です。また、活動中のランサムウェアおよび恐喝グループは前年比で49%増加しました。攻撃対象領域は、そのどれもが自律型のオペレーターを必要とするより前から、すでに拡大していたのです。
検知の時間枠からリカバリの確実性へ
既知の脆弱性の悪用は、すでに最も一般的な侵入方法です。同じIBMのレポートは、脆弱性の悪用が「became the leading cause of attacks, accounting for 40% of incidents observed by X-Force in 2025.」（訳：攻撃の主要な原因となり、2025年にX-Forceが観測したインシデントの40%を占めた）と述べています。既知の脆弱性と解消済みの脆弱性とのギャップはあまりに大きく、しかも絶えず補充され続けるため、完璧な予防は現実的ではありません。JADEPUFFERもこのパターンに当てはまります。Sysdigは、本当の標的への攻撃が「leaned on years-old issues, a 2021 Nacos auth-bypass and an unchanged default signing key.」（訳：何年も前からある問題、つまり2021年のNacosの認証バイパスと、変更されていないデフォルトの署名鍵に依存していた）と指摘しています。JADEPUFFERはこの議論を変えるものではありません。より鋭くするものです。
業界の前提がこれまで、人間のペースで動く検知・対応プロセスであれば、初期アクセスから取り返しのつかない影響に至るまでのどこかで侵入を捉えられると十分に期待できる、というものだったとすれば、31秒で自己修正するエージェントはその前提に対する直接的な挑戦です。対応策が「機械より速く検知して対応する」ことであってはなりません。それは防御側がいつまでも勝ち続けられると期待できる競争ではないからです。対応策はアーキテクチャによるものでなければなりません。攻撃者がどれだけ速くなろうとも、速く適応的な侵入の結果を生き延びられるようにすることです。
具体的には、バックアップとリカバリの基盤にとって重要な特性は、攻撃者が人間ではなくAIエージェントであっても変わりません。それらは「望ましいもの」から「譲れないもの」になるのです。
- 人間が異常な活動に間に合うように気づくことに依存しない、認証情報とアイデンティティの分離。 バックアップ環境に到達する認証情報が、侵害されたホストからエージェントが数秒で収集できるものと同じであれば、隔離は手順によるものではなく、構造的なものでなければなりません。
- 設定されているだけでなく、検証されたイミュータビリティ。 十分な権限を持つ認証情報で密かに無効化できる保持ロックは、人間の攻撃者がためらうことを前提とした統制です。エージェントはためらいません。
- 攻撃者がすでに環境を把握していることを前提としたリカバリテスト。 JADEPUFFERのエージェントは、失敗した手順にリアルタイムで適応しました。単一の想定どおりの障害シナリオに対してしかテストされていないリカバリ計画は、いまや実際に起こりうることが示された攻撃者よりも、遅く予測しやすい攻撃者を想定して作られた計画です。
エンタープライズのリスク管理責任者にとっての意味
JADEPUFFERは記録された1つのキャンペーンであり、あらゆるランサムウェア攻撃がいまや自律型になったことを示す証拠ではありません。しかし、Sysdigの評価が正しければ、これまで理論上のものだった事態が実際に観測されたことになります。LLMエージェントが実在する標的に対して実際の攻撃チェーンを実行し、数秒単位の自己修正ループを回していたのです。
リスク管理責任者にとって、実務上の問いはもはや、エージェント型ランサムウェアがより一般的になるかどうかではありません。Sysdigは、防御側は「should expect the volume and breadth of such campaigns to rise as agentic tooling matures」（訳：エージェント型ツールが成熟するにつれて、こうしたキャンペーンの量と範囲が拡大すると予想すべきだ）と述べており、IBM X-Forceは「expects adversaries to automate complex tasks like reconnaissance and advanced ransomware attacks.」（訳：攻撃者が偵察や高度なランサムウェア攻撃といった複雑なタスクを自動化すると予想している）としています。実務上の問いは、自社のリカバリアーキテクチャの前提が、人間のペースで動く攻撃者に合わせて作られたものなのか、それとも、もはや人間のペースである必要のない攻撃者に合わせて作られたものなのか、ということです。
BackupSecの役割
BackupSecは、JADEPUFFERによっていっそう差し迫ったものとなった前提を中心に、アプローチを組み立ててきました。予防はいずれ失敗する。そして結果を決めるのは、その失敗を生き延びるように作られたレイヤーであり、失敗を引き起こしたものがどれほど速く動いていたかは関係ない、という前提です。
- ZeroMON はVeeam Backup & Replicationを監視します。OVAとしてオンプレミスで稼働し、読み取り専用アカウントで接続し、BackupSecにも第三者にも何も送信しません。バックアップジョブの健全性を追跡し、Veeamにおける構成変更（誰が、何を、いつ変更したか）を記録し、イミュータビリティのステータスをVeeam自身のリポジトリ設定が報告するとおりに表示し、VeeamのSecurity Analyzerのチェックリストを常に確認できるようにします。アラートルールは、侵入者がバックアップに対して行うVeeam側の操作、たとえば認証情報の変更、保持期間やスケジュールの編集、ジョブの無効化、削除セッションなどをカバーしています。アラートはメールとアプリ内通知で送られます。ZeroMONが監視するのはVeeamです。他のホストでの認証情報の収集は見えず、ストレージ自体のロックを確認するのではなく、Veeamのイミュータビリティ設定を読み取ります。
- ZeroTAM は、専任のバックアップセキュリティアドバイザーをお客様のチームに提供します。アーキテクチャのレビュー、ランサムウェアからのリカバリ計画、キャパシティ、そして危機発生時の優先サポートです。アイデンティティの分離、イミュータビリティ、隔離が、人間のペースで動く攻撃者を想定して設計されたものかどうかを厳しく検証する場です。
- ZeroPEN は、Veeam Backup & Replication、Veeam ONE、Enterprise Managerを対象とした脅威主導型のペネトレーションテストです。MITRE ATT&CKにマッピングされた8つのステージでランサムウェアのキルチェーンをシミュレートし、初期アクセスと認証情報の悪用からリポジトリへのアクセス、バックアップの無力化を経て、暗号化能力の実証までを行います。エンゲージメントにはリストアの完全性とイミュータビリティの検証が含まれ、監査対応可能なエビデンスと、重大な指摘事項の再テストが提供されます。非破壊型のテストであり、ZeroPENは「never deletes real backups, performs real encryption, or stops production or backup services.」（訳：実際のバックアップを削除することも、実際の暗号化を行うことも、本番サービスやバックアップサービスを停止することもない）としています。
JADEPUFFERが投げかける問いは、防御が速いかどうかではありません。リカバリアーキテクチャが、防御の速さに依存しないように作られているかどうかです。
リカバリアーキテクチャの検証についてBackupSecに相談する →
本分析は、JADEPUFFERに関するSysdigの2026年7月の調査、IBMの2026 X-Force Threat Intelligence Index、Veeamの2024 Ransomware Trends Report、侵害されたバックアップに関するSophosの2024年の調査に基づいており、脆弱性の詳細はNVDとCISAによるものです。ここで示した解釈とフレームワークはBackupSec独自のものです。この分析がお客様の環境にどう当てはまるかについては、当社チームにお問い合わせください →