米セキュリティ企業のSysdigは、外部公開されたLangflowサーバーが同一の攻撃者に2度侵害され、2回目の攻撃ではAI資産を標的にした専用ランサムウェア「ENCFORGE」が使われたとの分析結果を明らかにした。VentureBeatが27日、報じた。

報道によると、1回目の攻撃は2026年7月1日、2回目は同20日に発生した。いずれも、Langflowのコード検証機能に存在する認証回避の脆弱性「CVE-2025-3248」（CVSSスコア9.8）を悪用し、サーバー上で任意のPythonコードを実行した。2回目の攻撃では単なるデータ削除にとどまらず、AI資産を直接暗号化する段階にエスカレートしたという。

ENCFORGEは一般的なランサムウェアと異なり、AI環境を狙って設計されている。PyTorchやTensorFlowのチェックポイント、Hugging FaceのSafeTensors、GGUFのモデルファイル、FAISSのベクトルインデックス、ParquetやNumPy形式の学習データなどを対象に暗号化する。

Sysdigは、攻撃グループ「JADEPUFFER」が金銭目的よりも、企業のAI資産を使用不能にすることを優先した可能性があるとみている。VentureBeatによれば、このランサムウェアには情報窃取機能や交渉用インフラがなく、ファイルの一部だけをAES-256-CTRで暗号化することで、大規模モデルでも短時間で損傷を与えられる設計だという。

AIモデルは一般的なデータベースと異なり、バックアップだけで容易に復旧できるとは限らない。Sysdigは、本番環境で利用するファインチューニング済みモデルを1つ再構築する場合、クラウドGPU費用やエンジニアリング人員を含めて約7万5000〜50万ドルかかる可能性があると試算した。学習データまで損傷していれば、復旧コストと所要期間はさらに膨らむ。

攻撃者はマルウェアのダウンロードに失敗すると、直ちに戦術を切り替えた。Langflowを通じて複数のPythonスクリプトを生成し、約5分でDockerコンテナからのエスケープに向けた別経路を確保して、ランサムウェアの実行に成功した。セキュリティ専門家は、こうした自動化によって侵害後の対応時間が大幅に短縮され、被害が拡大しやすくなるとみている。

問題の脆弱性は2025年5月、米サイバーセキュリティ・インフラ安全保障庁（CISA）の「Known Exploited Vulnerabilities（KEV）」リストに登録された。Langflowはバージョン1.3.0で修正済みだが、今回攻撃を受けたサーバーは14カ月超にわたって未修正のままだったことが確認された。