セキュリティ企業Sysdigは2026年7月20日、自律的にランサムウェア攻撃の全工程を実行する「エージェント型脅威（Agentic Threat Actor）」であるJadePufferが、AI・機械学習基盤に特化した新型マルウェア「EncForge」を投入し、モデルのチェックポイントやベクトルデータベース、学習データセットを暗号化する攻撃を確認したと報告した。JadePuffer自体は今月すでに、初期侵入からデータ暗号化まで人手を介さず完遂できる脅威として公表されていたが、今回はその攻撃対象がAI/MLインフラそのものに絞り込まれている点が新しい。

Langflowの既知脆弱性を再利用した侵入

今回の攻撃では、攻撃者は以前にも侵入していたLangflowインスタンス（CVE-2025-3248の脆弱性が未修正のまま残っていたもの）に再度アクセスした。侵入後、クラウド認証情報やAPIトークン、到達可能な内部サービスを探索する過程で、root権限を持つ「公開されたDockerソケット」を発見している。

興味深いのは、最初のペイロード配布が失敗した際の挙動だ。SysdigによればJadePufferは、わずか5分間で6本のPythonスクリプトを反復的に開発・投入し、procfs経由でコンテナの名前空間境界を越えてEncForgeをコピーする配布パイプラインを完成させた。人間のオペレーターが介在せず、エラーを見て自分でコードを書き直し、1分足らずで修正案にたどり着いたという。

EncForge：AI/MLスタックだけを狙う暗号化ロジック

EncForge（バイナリ名lockd）はGo言語で書かれUPXで圧縮された実行ファイルで、約180種類の拡張子を標的にする。対象にはHugging FaceのSafeTensors、PyTorch/TensorFlowのモデルファイル、GGUF/GGML形式の重み、FAISSのベクトルインデックス、Parquet・Arrow・TFRecord・NumPy・DuckDBといった学習データ形式が含まれる。コマンドラインのヘルプ表示にLoRAアダプタや旧世代のGGMLまで例示されていたことから、Sysdigは「汎用の暗号化ツールではなく、明確にAI環境向けに設計されたランサムウェア」と結論づけている。

暗号化方式はAES-256（CTRモード）による対称鍵暗号と、その鍵をRSA-2048公開鍵で保護するハイブリッド方式。処理速度を優先し、ファイル全体ではなく一部分のみを暗号化する点も特徴だ。暗号化されたファイルには.locked拡張子が付与され、被害者向けの識別子を記載した身代金要求メモが残される。データの外部窃取を示す痕跡は確認されておらず、EncForge自体にも情報窃取機能は見当たらないという。なお、Linux版にはWindowsのシャドウコピー削除やブート復旧無効化といった、本来Windows環境向けの復旧妨害機能がそのまま含まれていた。macOS版の存在もコード内に示唆されているが、実物は未確認とされている。

Sysdigは、モデルの重みや学習データセット、ベクトルインデックスの暗号化は再学習・再チューニングに数週間から数か月を要する可能性があるとし、モデル1件あたりの被害額を規模や用途に応じて7万5000〜50万ドルと試算している。

実務への影響

日本国内でもLangflowのような「ノーコードでAIエージェントを組めるツール」の採用が急速に進んでいるが、今回の事例はそうしたツールが本番運用に近い形でインターネットに露出しやすい構造上の弱点を突かれた形だ。実務担当者が明日から確認すべきポイントは次の3つ。

  • Langflowを含むAIエージェント基盤のパッチ適用状況を棚卸しする。CVE-2025-3248が修正されたv1.3.0以降へのアップデートは最優先。
  • Dockerソケットの露出をゼロにする。ホスト側のDockerソケットをコンテナにマウントすると、それだけでroot権限相当のホスト制御を渡すことになる。コンテナはnon-rootユーザーで実行し、ソケットへのアクセスは原則禁止とする。
  • モデル資産用ディレクトリにファイルシステムレベルのアクセス制御を敷く。チェックポイントやベクトルDB、学習データセットの保存先を、他の業務データと同じ権限モデルで扱わない。

筆者の見解

正直なところ、この事例が一番刺さるのは暗号化ロジックの巧妙さではなく「公開されたDockerソケット＝root権限相当のアクセスがそのまま放置されていた」という部分だ。ゼロトラストの原則からすれば、常時有効な特権アクセスの放置は特権アカウント管理における最大級のリスクであり、今回もそれが侵入の決め手になっている。Just-In-Timeで必要な時だけ権限を発行する仕組みがあれば、Dockerソケットの露出だけでroot権限を奪われる展開は防げたはずだ。

もう一点、今回の攻撃者自身が「人間の判断を介さず自律的に動くエージェント」だったという点も見過ごせない。防御側でもAIエージェントやサービスアカウントといったNon-Human Identities（NHI）の管理が業務効率化のボトルネックを解消する鍵になりつつあるが、その裏返しとして、攻撃者側もNHIとして自律的に動き、人間よりも速く試行錯誤して侵入経路を修正してくる時代に入ったということだ。守る側のNHI管理が甘ければ、攻撃する側のNHIに速度で負ける。AIエージェント基盤を本番導入する組織は、便利さと同じスピードでアクセス権限の設計を見直す必要がある。

出典: この記事は JadePuffer agentic attacks now target AI model data with ransomware の内容をもとに、筆者の見解を加えて独自に執筆したものです。