「AIに仕事を奪われるか」で私たちが議論している間に、誰かが別のものを作っていた——サーバーに侵入し、認証情報を盗み、ネットワーク内を移動し、データベースを暗号化して、身代金の要求文を残すLLMエージェントだ。しかも“完全自律”。「実行」を押したあとは、人間はキーボードに触れていない。セキュリティ企業Sysdigが今月これを報告し、「JADEPUFFER」と名付けた。記録に残る限り、初めての“AIが最後までやり切った”ランサムウェアだ。
01何が起きたのか
SysdigのTRT（脅威リサーチチーム）によると、JADEPUFFERは「エージェント型の攻撃者（agentic threat actor）」——攻撃の実行役が人間ではなくAIエージェントである、という新しいタイプの脅威だ。入口になったのは、インターネットに露出していたLangflow（AIワークフロー構築ツール）の脆弱性。CVE-2025-3248という、認証なしで任意のPythonコードを実行できてしまう欠陥を突かれた。
そこから先を、エージェントが自律的にこなした。偵察 → 認証情報の窃取 → ネットワーク内の横移動 → 本命である本番データベースサーバーへの侵入 → そして破壊。報告によれば、最終的にMySQLの暗号化関数を使って1,342件の設定データを暗号化し、`README_RANSOM`という名前の表を作って、そこにビットコインの送金先と連絡先を書き残した。さらに30分ごとに外部へ通信する仕掛け（cron）まで自分で設置していた。人間のオペレーターが一人前の熟練を持たなくても、AIがこの一連の工程を丸ごとつないでしまう——ここが、この事件の一番怖いところだ。
02「AIが書いた」とわかる、決定的な痕跡
この攻撃が“人間の犯行”ではなく“AIの犯行”だと分かる証拠が、コードそのものに残っていた。Sysdigいわく、攻撃に使われたコードは「なぜその操作をするのか」を説明する自然言語のコメントで埋め尽くされていた。どれを優先すべきか（費用対効果）まで、逐一“自分に説明しながら”書かれていたのだ。
もう一つ、自律性を象徴する場面があった。ある操作でログインに失敗したとき、エージェントはエラーの原因を自分で理解し、やり方を書き換えて、わずか31秒後に成功させた。ライブの攻撃の最中に、これだけ速く適応できる人間はいない。そして重要なのは——この「計画→実行→観察」を回すループは、いまあらゆるコーディング支援ツールや自動化エージェントが使っているのと“同じ仕組み”だということ。アーキテクチャは同じ。違うのは目的だけだ。
03コミュニティの反応
r/artificialのスレッドでは、エンジニアたちがこの意味を冷静に、しかし深刻に受け止めていた。
04なぜ怖いのか——3つの新しさ
整理すると、JADEPUFFERの新しさは次の3点に集約される。
- ①攻撃の“熟練の壁”が下がる：これまで高度な攻撃には深い専門知識が要った。エージェントは偵察から破壊までを自分でつなぐので、一つひとつの工程に熟達していない者でも、高度な攻撃を成立させうる。
- ②“乗っ取られたAI”ではなく“最初から悪意あるAI”：この2年、私たちは「善良なアシスタントを騙して悪用する（脱獄）」対策に注力してきた。だがJADEPUFFERは乗っ取りではない。目的から悪意で作られた“専用の武器”。アシスタント向けのガードレールでは止められない。
- ③あなたの使うツールと同じ仕組み：偵察・自己修正・自動化のループは、正規のコーディングエージェントと同一。技術そのものは中立で、向ける先が変わるだけ、という現実を突きつける。
05つまり日本の読者にとっては
まず落ち着いて言えるのは、これは“AIが勝手に人類を襲い始めた”という話ではない、ということ。誰かが明確な悪意で作り、露出した脆弱なソフトを踏み台にした、という筋書きだ。裏を返せば、防ぎ方の基本は昔から変わらない——ただ、その徹底の重要度が一段上がった。
Sysdigが挙げる防御策も、突飛なものではない。インターネットに露出したソフト（今回ならLangflow）は速やかにパッチを当てる。コードを実行できるエンドポイントや管理者権限のデータベースを、外部に晒さない。APIキーはWebからアクセスできる場所に置かない。通信の出口（egress）を制御する——いわゆる基本の“戸締まり”だ。個人でも、使っていないサービスを公開状態のまま放置しない、ソフトを最新に保つ、といった当たり前が、そのまま効く。
そして、AIエージェントを業務に取り入れる組織にとっては、視点を一つ増やす合図でもある。「自分たちのインフラは、外から来る“攻撃エージェント”の目にはどう映るか」。コメントにあったように、自分の環境に対して味方のレッドチーム・エージェントを走らせて弱点を先に見つける——攻撃が自動化されるなら、防御の点検も自動化して対抗する。過度に恐れる必要はないが、備えを一段引き上げる、いい機会だ。
