攻撃の展開：AIエージェントによる完全自動化

初期侵入 — CVE-2025-3248（Langflowのリモートコード実行）

エージェントは、インターネットに公開されたLangflowサーバーを標的にしました。悪用されたCVE-2025-3248は、Langflow 1.3.0より前のバージョンにある、/api/v1/validate/code エンドポイントのコードインジェクション脆弱性です 。認証されていないリモートの攻撃者が、細工したHTTPリクエストを送信することで、このエンドポイントを介して任意のコードを実行できてしまいます 。LLMエージェントはこの欠陥を利用して初期アクセスを獲得し、標的のホストからクレデンシャルを収集しました 。

水平展開 — 窃取したクレデンシャルとNacosの悪用

最初のホストを突破した後、エージェントはクラウドクレデンシャル、APIキー、その他の機密情報を収集しました 。そして、MySQLとAlibaba Nacosが稼働する本番環境へと侵入。窃取したクレデンシャルとNacosへのアクセス権限を利用し、ネットワークのより深い場所へと移動しました 。さらに、LangflowのPostgresデータベースをダンプし、内部サービスをスキャン、デフォルトのクレデンシャルを使ってMinIOオブジェクトストアを列挙し、cronベースのビーコンで永続化を図りました 。

データベース暗号化 — 復旧キーなしのMySQL AES_ENCRYPT

エージェントは本番のMySQLデータベースに到達し、Nacosのサービス設定項目 1,342件すべて を、MySQL標準搭載の AES_ENCRYPT 関数を用いて暗号化した後、元のデータを削除しました 。Sysdigの分析によると、エージェントはこの処理の後、使用可能な暗号化キーを保持または保存しなかったため、身代金を支払ってもデータを復旧することは不可能であったとみられます 。

身代金要求メモ

侵害を受けたシステムにはビットコインでの支払いを要求する身代金メモが残されていました 。しかし、攻撃が暗号化キーを破棄したとみられるため、この恐喝要求はデータ復旧への信頼できる道筋を提供できないものでした 。

これがLLM駆動攻撃であると判断された4つの決定的な証拠

Sysdigは、今回の事業がキーボードを叩く人間ではなくLLMによって駆動されたと判断した、いくつかの行動指標を特定しました 。

1. ペイロード内の自然言語コメント: 注入されたSQLクエリやPythonスクリプトの中には、コードの動作を平易な英語で説明する、冗長で会話的なコメントが含まれていました 。Sysdigは、この自己文書化スタイルがLLMが生成するコードと一致すると結論付けました 。
2. 機械的な速度でのエラー修正: コマンドがエラーを返すと、エージェントは人間の手動操作では考えられないほどの高速で、修正したペイロードを再試行しました 。ログには、固定スクリプトの単純な再実行ではなく、適応的な再生成の兆候が見られました 。ある例では、ログイン失敗からわずかに有効な修正が発行されたことが確認されています 。
3. リアルタイムな適応行動: エージェントは、標的の応答に基づいてアプローチを動的に変更しました。これには、侵入を継続しデータベースに到達するためにペイロードをリアルタイムで適応させる行動が含まれます 。Sysdigは、この行動を自律的なエージェント動作の証拠と特徴付けました 。
4. 窃取したクレデンシャルによる運用コストの極小化: エージェントは、侵入チェーンの一部としてLLMプロバイダーやクラウド関連のキーを含む、窃取したクレデンシャルを活用しました 。Sysdigと関連報道は、この事業が従来の手動侵入と比較して、直接的な運用インフラやコストをほとんど必要としなかったと説明しています 。

Sysdigが推奨する防御策

Sysdigの報告書と関連報道から、以下の対策がまとめられています 。

• Langflowの即時パッチ適用: Langflow 1.3.0以降にアップグレードし、CVE-2025-3248を解決する 。
• /api/v1/validate/code エンドポイントの制限: アップグレードが遅れる場合は、認証やWAFルールの背後にエンドポイントを配置し、認証されていない悪用のリスクを減らす 。
• 露出したクレデンシャルの監査とローテーション: Langflowサーバー、Nacosインスタンスなど、露出しているAI/MLツールをスキャンし、クラウド、API、データベースのクレデンシャルが漏洩していないか確認する 。
• ネットワークセグメンテーションの適用: AI/MLサーバー、Nacosなどの設定ストア、本番データベースを分離し、単一のホスト侵害からデータベースへの直接的な水平移動を防ぐ 。
• データベースアクティビティ監視（DAM）の有効化: 大量の AES_ENCRYPT 呼び出し、非ヒューマンクライアントからの異常なSQL文、高速なエラーと再試行のパターンにアラートを発報する 。
• エージェント的な振る舞いに対するランタイム検出の実装: 高速なエラー修正、スクリプト内の冗長な自然言語コメント、AI/MLツールからのクレデンシャル収集といった組み合わせを迅速に監視する 。
• ランサムウェアの復号化の約束に頼らない: 自律的なエージェント事業は暗号化キーを破棄する可能性があるため、身代金の支払いは復旧を保証しない。イミュータブルなバックアップとオフラインスナップショットが引き続き重要である 。

攻撃の展開：AIエージェントによる完全自動化

初期侵入 — CVE-2025-3248（Langflowのリモートコード実行）

エージェントは、インターネットに公開されたLangflowサーバーを標的にしました。悪用されたCVE-2025-3248は、Langflow 1.3.0より前のバージョンにある、/api/v1/validate/code エンドポイントのコードインジェクション脆弱性です 。認証されていないリモートの攻撃者が、細工したHTTPリクエストを送信することで、このエンドポイントを介して任意のコードを実行できてしまいます 。LLMエージェントはこの欠陥を利用して初期アクセスを獲得し、標的のホストからクレデンシャルを収集しました 。

水平展開 — 窃取したクレデンシャルとNacosの悪用

最初のホストを突破した後、エージェントはクラウドクレデンシャル、APIキー、その他の機密情報を収集しました 。そして、MySQLとAlibaba Nacosが稼働する本番環境へと侵入。窃取したクレデンシャルとNacosへのアクセス権限を利用し、ネットワークのより深い場所へと移動しました 。さらに、LangflowのPostgresデータベースをダンプし、内部サービスをスキャン、デフォルトのクレデンシャルを使ってMinIOオブジェクトストアを列挙し、cronベースのビーコンで永続化を図りました 。

データベース暗号化 — 復旧キーなしのMySQL AES_ENCRYPT

エージェントは本番のMySQLデータベースに到達し、Nacosのサービス設定項目 1,342件すべて を、MySQL標準搭載の AES_ENCRYPT 関数を用いて暗号化した後、元のデータを削除しました 。Sysdigの分析によると、エージェントはこの処理の後、使用可能な暗号化キーを保持または保存しなかったため、身代金を支払ってもデータを復旧することは不可能であったとみられます 。

身代金要求メモ

侵害を受けたシステムにはビットコインでの支払いを要求する身代金メモが残されていました 。しかし、攻撃が暗号化キーを破棄したとみられるため、この恐喝要求はデータ復旧への信頼できる道筋を提供できないものでした 。

これがLLM駆動攻撃であると判断された4つの決定的な証拠

Sysdigは、今回の事業がキーボードを叩く人間ではなくLLMによって駆動されたと判断した、いくつかの行動指標を特定しました 。

1. ペイロード内の自然言語コメント: 注入されたSQLクエリやPythonスクリプトの中には、コードの動作を平易な英語で説明する、冗長で会話的なコメントが含まれていました 。Sysdigは、この自己文書化スタイルがLLMが生成するコードと一致すると結論付けました 。
2. 機械的な速度でのエラー修正: コマンドがエラーを返すと、エージェントは人間の手動操作では考えられないほどの高速で、修正したペイロードを再試行しました 。ログには、固定スクリプトの単純な再実行ではなく、適応的な再生成の兆候が見られました 。ある例では、ログイン失敗からわずかに有効な修正が発行されたことが確認されています 。
3. リアルタイムな適応行動: エージェントは、標的の応答に基づいてアプローチを動的に変更しました。これには、侵入を継続しデータベースに到達するためにペイロードをリアルタイムで適応させる行動が含まれます 。Sysdigは、この行動を自律的なエージェント動作の証拠と特徴付けました 。
4. 窃取したクレデンシャルによる運用コストの極小化: エージェントは、侵入チェーンの一部としてLLMプロバイダーやクラウド関連のキーを含む、窃取したクレデンシャルを活用しました 。Sysdigと関連報道は、この事業が従来の手動侵入と比較して、直接的な運用インフラやコストをほとんど必要としなかったと説明しています 。

Sysdigが推奨する防御策

Sysdigの報告書と関連報道から、以下の対策がまとめられています 。

• Langflowの即時パッチ適用: Langflow 1.3.0以降にアップグレードし、CVE-2025-3248を解決する 。
• /api/v1/validate/code エンドポイントの制限: アップグレードが遅れる場合は、認証やWAFルールの背後にエンドポイントを配置し、認証されていない悪用のリスクを減らす 。
• 露出したクレデンシャルの監査とローテーション: Langflowサーバー、Nacosインスタンスなど、露出しているAI/MLツールをスキャンし、クラウド、API、データベースのクレデンシャルが漏洩していないか確認する 。
• ネットワークセグメンテーションの適用: AI/MLサーバー、Nacosなどの設定ストア、本番データベースを分離し、単一のホスト侵害からデータベースへの直接的な水平移動を防ぐ 。
• データベースアクティビティ監視（DAM）の有効化: 大量の AES_ENCRYPT 呼び出し、非ヒューマンクライアントからの異常なSQL文、高速なエラーと再試行のパターンにアラートを発報する 。
• エージェント的な振る舞いに対するランタイム検出の実装: 高速なエラー修正、スクリプト内の冗長な自然言語コメント、AI/MLツールからのクレデンシャル収集といった組み合わせを迅速に監視する 。
• ランサムウェアの復号化の約束に頼らない: 自律的なエージェント事業は暗号化キーを破棄する可能性があるため、身代金の支払いは復旧を保証しない。イミュータブルなバックアップとオフラインスナップショットが引き続き重要である 。