AI開発環境が身代金攻撃の標的に　CVE-2025-3248悪用でENCFORGEを展開

The Hacker Newsは2026年7月21日、AIアプリケーション開発基盤「Langflow」への侵入を起点として、AIモデルや学習データを暗号化する新たなランサムウェア「ENCFORGE」が展開された事例を報じました。攻撃者は既知の脆弱性を悪用してサーバーへ侵入し、コンテナ環境からホストへ権限を拡大したうえで、モデル重みやベクトルインデックスなどを暗号化しようとしたとされています。

The Hacker News：New ENCFORGE Ransomware Targets AI Model Files in Langflow RCE Attack

この記事のポイント

影響のあるシステム

• Langflow 1.3.0未満のバージョン
• インターネットからアクセス可能なLangflow環境
• /api/v1/validate/codeエンドポイントへ外部から到達できる環境
• LangflowをLinuxコンテナ上で実行しているサーバー
• /var/run/docker.sockをアプリケーションコンテナへマウントしている環境
• 特権コンテナの作成が許可されているDocker環境
• PyTorchやTensorFlowのモデルチェックポイント
• Hugging Face SafeTensors形式のモデル重み
• ONNX、GGUF、GGML形式のAIモデルファイル
• FAISSなどのベクトルインデックス
• Parquet、Apache Arrow、TensorFlow Recordなどの学習データ
• NumPy配列や埋め込みベクトルを保存する共有ストレージ
• モデル、学習データ、ベクトルデータベースを同一ホスト上に保存しているAI開発・本番環境

確認されたENCFORGEの検体はLinux向けのELFバイナリであり、暗号化処理を妨害させないために対象ファイルを開いているプロセスを事前に停止する機能を備えていました。実際に確認された攻撃は一つの環境に限られており、他の組織への展開状況や被害件数は公表されていません。

推奨される対策

• Langflowを現在サポートされている最新の安定版へ更新する
• CVE-2025-3248が修正された1.3.0以降であることを確認する
• Langflowの管理画面やAPIをインターネットへ直接公開しない
• /var/run/docker.sockをLangflowコンテナから取り外す
• Dockerソケットが必要な場合は、許可するAPI操作を限定したプロキシを使用する
• Langflowコンテナをroot権限で実行しない
• 特権コンテナ、ホストPID名前空間、ホストルートの書き込み可能なマウントを禁止する
• コンテナ内からのnsenter実行を監視する
• モデル重み、ベクトルインデックス、学習データへのアクセス権限を最小化する
• AIモデルや学習データをオフラインまたは変更不能なスナップショットへ保存する
• AI関連ディレクトリで大量の.lockedファイルが作成される挙動を監視する
• Langflowの実行環境にLLM事業者のAPIキーやクラウド認証情報を直接保存しない
• 脆弱なLangflow環境から参照できた認証情報、APIキー、トークンを更新する

更新プログラムの適用だけでは、侵入後に窃取されたAPIキーやクラウド認証情報を無効化できません。脆弱なバージョンを運用していた場合は、ログ調査、認証情報の更新、Docker設定の確認、AI資産のバックアップ状況までを一連の対応として実施する必要があります。

AIモデル自体がランサムウェアの標的に

ENCFORGEの特徴は、一般的な文書や画像だけでなく、AIシステムの運用に欠かせないファイル形式を明確に暗号化対象としている点です。Sysdigが解析した検体には約180種類の拡張子が登録されており、PyTorchやTensorFlowのチェックポイント、Hugging Face SafeTensors、ONNX、GGUF、GGMLなど、現在のAI開発で広く使用されるモデル形式が含まれていました。

さらに、FAISS形式のベクトルインデックス、ParquetやApache Arrow形式の学習データ、TensorFlow Record、NumPy配列なども対象となっていました。これらは、生成AIや機械学習システムの学習、推論、検索処理を支える重要な資産です。Webアプリケーションのソースコードを復旧できても、モデル重みやベクトルインデックスを復元できなければ、AIサービスを元の状態へ戻せない可能性があります。

ENCFORGEには、標準の対象リストへ任意の拡張子を追加する機能も実装されていました。その使用例としてLoRAの追加学習用ファイルや旧世代のGGMLモデルが示されており、Sysdigは、AI関連ファイルが偶然対象に含まれたのではなく、AI・機械学習環境を意図して設計された可能性が高いと分析しています。

一方、Sysdigが公開したのは一つの攻撃セッションに関する調査結果です。被害組織の名称や暗号化されたファイル数、他の環境への展開状況は公表されていません。現時点では大規模な感染キャンペーンが確認されたと断定することはできませんが、AIモデルがランサムウェアの直接的な標的になり得ることを示した事例として注意が必要です。

出典：Sysdig「JADEPUFFER evolves: The agentic threat actor deploys ransomware built to destroy AI models」

既知のLangflow脆弱性からサーバーへ侵入

攻撃の侵入口として使用されたのは、Langflowの脆弱性「CVE-2025-3248」です。Langflow 1.3.0未満では、コードを検証する/api/v1/validate/codeエンドポイントへ認証なしでアクセスでき、細工したHTTPリクエストによって任意のPythonコードを実行される可能性があります。

この脆弱性は2025年に修正されており、CISAも2025年5月5日に実際の攻撃で悪用されている脆弱性としてKnown Exploited Vulnerabilitiesカタログへ追加しています。それにもかかわらず、JADEPUFFERは更新されていないLangflow環境へ侵入し、サーバー内のクラウド認証情報、データベース接続情報、APIトークンなどを探索したとされています。

Langflowは、LLM事業者、クラウドサービス、ベクトルデータベース、オブジェクトストレージなど、複数の外部サービスと接続して使用されることがあります。そのため、実行環境の環境変数や設定ファイルにAPIキーや認証情報が保存されている場合、Langflowサーバーへの侵入が他のクラウド環境やデータベースへの侵害につながる可能性があります。

CVE-2025-3248自体はLangflow 1.3.0で修正されていますが、Langflowではその後も複数の脆弱性が報告されています。管理者は特定の脆弱性だけを修正した古いバージョンへ留まるのではなく、公式リリース情報を確認し、現在サポートされている最新の安定版へ更新することが重要です。

出典：GitHub Security Advisory「Langflow Unauth RCE」、CISA「CISA Adds One Known Exploited Vulnerability to Catalog」

Dockerソケットを足掛かりにホスト環境へ到達

Langflow上でコード実行に成功したJADEPUFFERは、コンテナ内から/var/run/docker.sockを発見しました。DockerソケットはDockerデーモンへ命令を送るための通信インターフェースであり、書き込み可能な状態でアプリケーションコンテナへ公開されている場合、ホスト上で新しいコンテナを作成できる可能性があります。

Sysdigの調査では、攻撃者はENCFORGEの取得に一度失敗した後、約5分24秒の間に6種類のPythonスクリプトを作成・修正し、別の経路でホストへ到達する方法を構築しました。最終的には、ホストのPID名前空間を共有し、ルートファイルシステムを書き込み可能な状態でマウントした特権コンテナを作成しています。

その後、攻撃者はLinuxのnsenterコマンドを利用し、コンテナの名前空間からホスト環境へ処理を移しました。暗号化を開始する前には、対象となるファイルを検索する試行モードを実行し、続いて本番の暗号化処理を開始しました。さらに、実行中のプロセス、ログ、.locked拡張子を持つファイル数を確認し、処理結果を検証しようとしていました。

この攻撃経路は、CVE-2025-3248だけで成立したものではありません。LangflowコンテナからDockerソケットへ無制限にアクセスでき、特権コンテナやホストPID名前空間、ホストルートのマウントが許可されていたことが、ホスト全体への影響を拡大させました。アプリケーションの更新だけでなく、コンテナ実行時の権限やDockerソケットの公開状況を確認する必要があります。

出典：Sysdig「JADEPUFFER evolves: The agentic threat actor deploys ransomware built to destroy AI models」

ENCFORGEは高速な暗号化と復旧妨害を実装

Sysdigが回収したENCFORGEは、Go 1.22.12で作成された静的リンク形式のELF実行ファイルで、UPX 5.20によって圧縮されていました。解析時点では、圧縮前と展開後のどちらのハッシュも、一般的な脅威情報サービスで検知されていなかったと報告されています。

ファイルの暗号化にはAES-256-CTRが使用され、実行ごとに生成される共通鍵は、検体へ組み込まれたRSA-2048の公開鍵によって保護されていました。ENCFORGEはファイル全体を暗号化するのではなく、選択した領域だけを暗号化します。これは処理時間を短縮し、短時間でより多くのファイルを使用不能にするための方法と考えられます。

暗号化されたファイルには.locked拡張子が追加されます。また、ENCFORGEは対象ファイルを使用しているプロセスを停止し、処理が中断された後に再実行されても、暗号化済みのファイルを再び処理しないよう設計されていました。実行後にはREADME、HOW_TO_DECRYPT、README_DECRYPTという身代金要求文書を作成し、最終的に自身を削除する機能も備えていました。

確認された検体には、外部へのデータ送信機能、クラウドストレージへアップロードする機能、ファイルを一時保管する機能は含まれていませんでした。調査された攻撃セッションでも、情報流出やリークサイト、Tor上の支払いサイトは確認されていません。このため、ENCFORGEはデータ公開を組み合わせる二重恐喝ではなく、暗号化による業務停止を主な圧力とするランサムウェアとみられています。

出典：Sysdig「JADEPUFFER evolves: The agentic threat actor deploys ransomware built to destroy AI models」

AI資産の復旧は通常のファイル復元より困難

一般的な業務文書であれば、正常なバックアップからファイルを復元することで業務を再開できる場合があります。しかし、AIモデルでは、保存されたモデル重みだけでなく、学習に使用したデータ、前処理方法、追加学習の履歴、評価結果などが組み合わさって、現在の性能が形成されています。

古いスナップショットからモデルを復元できても、最後のバックアップ以降に行った学習や調整が失われる可能性があります。学習データまで同じストレージ上で暗号化された場合は、モデルを再学習する前にデータセットの復元や再構築が必要になります。ベクトルインデックスも、元となる文書や埋め込みデータを復元できなければ、再生成することができません。

Sysdigは、企業向けに調整された一つのAIモデルを再構築する場合、クラウドGPUの利用料とエンジニアリング作業を合わせ、7万5,000ドルから50万ドル程度の費用が発生する可能性があると試算しています。この金額はモデルの規模や学習データの複雑さによって変化し、同じストレージ上に複数のモデルがある場合は、被害がさらに拡大する可能性があります。

ただし、この金額はSysdigによる一般的な試算であり、今回確認された組織の実際の被害額を示すものではありません。重要なのは、AIモデル、学習データ、ベクトルインデックスを、ソースコードや本番データベースと同じ重要度の復旧対象として管理することです。

出典：Sysdig「JADEPUFFER evolves: The agentic threat actor deploys ransomware built to destroy AI models」

日本企業が確認すべき防御策

Langflowを利用している組織は、最初にインターネットからアクセスできるインスタンスを洗い出し、使用中のバージョンを確認する必要があります。CVE-2025-3248はLangflow 1.3.0で修正されていますが、その後も複数の脆弱性が報告されているため、1.3.0へ更新するだけではなく、公式のリリースページで現在の安定版を確認し、可能な限り最新版へ更新してください。

次に、LangflowコンテナへDockerソケットがマウントされていないかを確認します。Langflowは通常、Dockerコンテナを新たに作成する必要がないため、/var/run/docker.sockへのアクセスは原則として削除することが推奨されます。業務上必要な場合でも、特定のDocker API操作だけを許可するプロキシを経由させ、特権コンテナの作成、ホストPIDの共有、ホストルートの書き込み可能なマウントを制限する必要があります。

監視面では、Langflowのプロセスから起動されたPythonサブプロセス、アプリケーションユーザーによるDocker APIへのアクセス、コンテナ内からのnsenter実行などを検知対象に加えます。モデルや学習データを保存するディレクトリでは、短時間に大量の.lockedファイルが作成される挙動も監視する必要があります。

脆弱なLangflow環境を運用していた場合は、パッチ適用前に認証情報が取得されていないかを確認してください。環境変数、設定ファイル、インスタンスメタデータなどから参照できたLLM事業者のAPIキー、クラウド認証情報、データベースパスワード、アクセストークンは、侵害の明確な証拠が見つからない場合でも更新を検討する必要があります。

AIモデル、ベクトルインデックス、学習データについては、本番環境から直接変更できないオフラインバックアップまたは不変スナップショットを用意してください。バックアップからモデルを復元できるだけでなく、再学習に必要なデータ、設定、コード、依存関係まで再現できるかを定期的に確認することが重要です。

出典：Sysdig「JADEPUFFER evolves: The agentic threat actor deploys ransomware built to destroy AI models」、GitHub「Langflow Releases」

参考文献・記事一覧

• The Hacker News：New ENCFORGE Ransomware Targets AI Model Files in Langflow RCE Attack
• Sysdig：JADEPUFFER evolves: The agentic threat actor deploys ransomware built to destroy AI models
• GitHub Security Advisory：Langflow Unauth RCE
• NIST National Vulnerability Database：CVE-2025-3248
• CISA：CVE-2025-3248のKEVカタログ追加情報
• GitHub：Langflow Releases
• Sysdig：JADEPUFFER: Agentic ransomware for automated database extortion

投稿者プロフィール

CyberCrew（サイバークルー）

CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。

■ 情報セキュリティサービス台帳登録事業者

■ セキュリティコンテスト受賞歴
CTF国際大会 世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10

■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）

最新の投稿

• 2026.07.28AI開発環境が身代金攻撃の標的に　CVE-2025-3248悪用でENCFORGEを展開
• 2026.07.27オンプレミスSharePointを狙う攻撃が拡大　機械キー窃取で認証を突破する可能性
• 2026.07.26盗まれた認証情報からWindowsサーバーへ侵入　AI支援でAD情報を大量収集
• 2026.07.25AIがベンチマーク解答を求めてゼロデイを悪用、認証情報の窃取とRCEに発展