Langflow脆弱性悪用、AIモデル狙う新型ランサム出現
- Langflowの未認証RCE脆弱性CVE-2025-3248を悪用する攻撃者JADEPUFFERが、新型ランサムウェアENCFORGEを展開したとSysdigが報告。
- ENCFORGEはPyTorchやGGUFなどAIモデル資産に特化した約180種の拡張子を暗号化対象とする。
- 同一のProtonMailアドレスから前回キャンペーンとの関連が確認され、Docker socket経由でホスト権限まで奪取していた。
かんたんに言うと
AI開発ツールLangflowの弱点を突かれ、AIモデルのファイルを人質にする新しいウイルスが見つかった。該当バージョンを使っている企業は今すぐ更新し、関連するパスワードやアクセス鍵も変更する必要がある。
AIセキュリティとの関連: AIエージェント運用基盤の脆弱性を突き、AIモデルそのものを暗号化・破壊する攻撃であり、AI開発環境特有のリスクを示す事例のため。
何が起きたか
セキュリティ企業Sysdigの調査によると、AIワークフロー構築ツールLangflowの脆弱性を悪用する攻撃者集団「JADEPUFFER」が、新型ランサムウェア「ENCFORGE」を展開したことが確認されたと報じられている。侵入経路はLangflow 1.3.0未満に存在する未認証RCE(遠隔コード実行)脆弱性CVE-2025-3248で、CVSSスコアは9.8、CISAの既知悪用脆弱性(KEV)カタログに2025年5月から掲載されている。今回のENCFORGEは、前回のNacosやデータベースを狙った即席スクリプトとは異なり、Go言語でコンパイルされた本格的なマルウェアで、PyTorchやTensorFlow、Hugging Face SafeTensors、GGUF形式など約180種のAIモデル・データセット関連ファイルを暗号化対象とする。攻撃者はDockerソケットを悪用し、特権コンテナ経由でホストの管理者権限を奪取していたことも判明した。
誰に・どう影響するか
中小企業にとっては、Langflowを社内AI基盤として導入している場合、パッチ未適用のまま放置すると学習済みモデルや学習データが暗号化され、業務停止につながるおそれがある。復旧には専門知識と時間が必要で、外部委託先が管理するサーバーでも同様のリスクがある。大企業にとっては、複数のAIモデル変種を同一ストレージで運用しているケースが多く、一度の侵害で複数モデルが同時に暗号化される可能性がある。Sysdigは、1モデルあたりの再構築コストがクラウドGPU利用料と技術者工数を含め7万5000〜50万ドルに達すると試算しており、影響範囲が広いほど損失も大きくなる。
今すぐやるべきアクション
- Langflowを1.9.1以上の最新サポート版へ即時アップグレードする
- Langflowプロセスがアクセスできたクラウド鍵・DB資格情報・APIキーを全て失効・再発行する
- コンテナやホストでDockerソケット(/var/run/docker.sock)への不要なアクセスを遮断する
- モデル重みや学習データのバックアップをオフライン/隔離環境に保管する
- CVE-2026-33017およびCVE-2026-55255など関連するLangflowの既知悪用脆弱性も併せて確認する
重大度の判定理由
重大度「高」: 未認証RCE(CVSS9.8)は既にKEV登録・悪用確認済みだが、修正版は存在し観測事例は限定的なため