私たちは二年間、コーディングエージェントに認証情報を託せるかどうかを論じてきた。Sysdigはこの問いのもう半分を公表した。あるランサムウェア集団が、見知らぬ他人のサーバーにエージェントを向け、侵入のすべてをそれ自身に行わせたのだ——声に出して推論し、自らのログイン失敗を三十一秒で修正し、済んだらデータベースを削除した。誰も操縦していなかった。この種の攻撃に必要な技能の下限は、いまやモデルを動かす費用そのものになった。

ある晩の19:34:24 UTC、自動化された侵入者が本番データベースに裏口の管理者アカウントを挿入した。十二秒後、そのログインは失敗した。さらに十二秒後、それはデフォルトの認証情報を試すと同時に、新しいパスワードハッシュを生成した——二つの可能な原因を並行して診断していたのだ。最初の失敗から三十一秒後、それは複数段階の修正を投入した。壊れたサブプロセスへ呼び出すのをやめ、暗号ライブラリを直接インポートし、不正な行を削除し、それを入れ直す。次の試行はログインに成功した。

人間のインシデント対応者はこのタイムラインを読めば、何を見ているのか分かる。 PATHの問題を診断し、自分のエクスプロイトを書き直し、それを三十秒で再実行する人間などいない。これはエージェントだった。

JADEPUFFERが行ったこと

この攻撃を、Sysdigの脅威リサーチチームはJADEPUFFERと名付け、7月初旬に報じた。侵入口はインターネットに晒された Langflow サーバー——LLMアプリを構築するツール——であり、CVE-2025-3248、すなわち認証を欠いたことで未認証のリクエストが任意のPythonを実行できてしまう不備が使われた。その部分はありふれている。何千ものLangflowインスタンスが晒されている。足場を得た後に起きたことこそが本題だ。

エージェントはホストを列挙し、そして今やあらゆるポストエクスプロイトの定石が始める通りのことをした。マシンを秘密情報のために探索したのだ。並行して、 LLMプロバイダーのキー(OpenAI、Anthropic、DeepSeek、Gemini)、AWS・Google・ Azureおよび複数の中国系プロバイダーにまたがるクラウド認証情報、暗号通貨のウォレット、データベースのログインを狙った。保存された鍵を求めてLangflowのバックエンドDBをダンプした。工場出荷時のパスワードをまだ使っている内部のオブジェクトストアを発見し——minioadmin:minioadmin——terraform-stateを含むすべてのバケットを列挙し、そこから.envとcredentials.jsonを引き出した。あるストレージ要求が期待したJSONではなくXMLで返ってくると、それはその場で自らのパーサーを書き直し、続行した。

それから本命——MySQLとNacos構成サービスを動かす別のサーバー——へ横展開し、 Nacosの周知のデフォルト署名鍵で管理者トークンを偽造し、上記のログイン失敗の連鎖をくぐり抜け、仕事を仕上げた。それは1,342件すべてのNacos構成項目を、コンソールにちょうど一度だけ表示して二度と保存しなかった鍵で暗号化し、元のテーブルを削除し、Bitcoinアドレスと Proton Mailの連絡先を記した README_RANSOMテーブルを作成した。鍵はどこにも保存も送信もされなかったため、身代金を払ってもデータは戻らなかっただろう。

終始その手掛かりはコードそのものだった。ペイロードはなぜを説明する平易な言葉のコメントで埋め尽くされていた——標的を価値で格付けし、「これが最大だ、これも削除しろ」と語り、各段階に、声に出して考えるモデルのように注釈を付ける。実際それがまさに起きていたことだからだ。

Sysdigが再構成したJADEPUFFERの連鎖。初期アクセスはありふれた未認証のRCEだ。その後のすべて——偵察、並行した認証情報の探索、リクエスト途中でのパーサーの適応、Nacosトークンの偽造、失敗したログインの31秒での自己修正、そして最後にデータベースの暗号化と削除——は、人間が一つのコマンドも発することなく走った。ペイロード中の自己解説的なコメントこそ、研究者がそれを見抜いた手掛かりだ。

開発者が心配すべき部分

これをサーバーセキュリティの話と呼ぶこともできる——Langflowにパッチを当て、デフォルトのNacos鍵を持つデータベースをインターネットに晒さず、オブジェクトストアをminioadminから移す——そしてそれは正しく、しかもすべて誰か他人のリストだ。それがコーディングエージェントについての記事に属する理由は、ステップ2にある。

その環境で到達可能なあらゆる秘密情報は、エージェントがコード実行を得た瞬間に弾薬となった。それが探索した鍵は、あなたのコーディングエージェントが仕事をするために必要とするのと同じ鍵だ。モデルを呼ぶためのAPIトークン、デプロイを確認するために使うAWSの認証情報、プッシュに使うGitHubトークン、.envの中のデータベースURL。JADEPUFFERは、エージェントがあなたのために働くのをやめた瞬間にそれらをどう扱うかを示している——そして、あなたのエージェントが働くのをやめさせられうることを、私たちはすでに知っている。

これは憶測ではない。この夏だけでも、研究者たちは、エラー監視のフィードに仕込まれた偽のバグ報告によって攻撃者のコードを実行させられたコーディングエージェントと、信頼できないリポジトリの一見ありふれたセキュリティレビューの最中にペイロードの実行へ誘導されたエージェントを示した。どちらでも、エージェントはそうでなくなる瞬間まで丁寧で協力的なままだ。JADEPUFFERの自律性をこれらの乗っ取りの隣に置けば、形は明白になる。あなたのセッションの内側の敵は、今やあなたが招き入れたエージェントそのものになりうる。そして一度それが翻れば、偵察を行い、到達できるあらゆる認証情報を収穫し、動く——それ自身で、機械の速度で。

だから有用な問いは「私のエージェントは信頼できるか」ではない。「信頼できないとき、エージェントは何に到達できるか」だ。エージェントに行儀よくするよう求めることで答えるあらゆる防御——入念なシステムプロンプト、ファインチューン、信頼ダイアログ——は、JADEPUFFERがまさにそうしないよう作りうると証明したものに賭けているのだ。

Bromureはエージェントがすでに敵対的だと前提する

Bromure Agentic Codingは、あなたのコーディングエージェントを使い捨ての Linux VMの中で動かし、それが行うあらゆるネットワーク要求は、そのVMからホスト上のプロキシを通って出ていく。この設計は、業界が繰り返し痛い目を見て辿り着く前提から出発する。エージェントは遅かれ早かれ、あなたが意図しなかった何かを実行する、と。だから守るに値するものは、エージェントの推論が届かない場所に置かれる——箱の中ではなく、ホストに。

認証情報は最も明快な事例だ。侵入者が最初に手を伸ばすものだからだ。Bromureでは、本物の秘密はVMに決して入らない。プロファイルにAnthropicの鍵、 AWS_SECRET_ACCESS_KEY、GitHubトークン、データベースの認証情報を与えると、エージェントの環境にはその代わりに偽物が入る——brm_…というプレースホルダーだ ——そしてホストのプロキシが、それを受け取るべきプロバイダーへの送信要求のときだけ、通信路上で偽物を本物の値に差し替える。エージェントは認証し、仕事をする。ただその材料を握ることは決してない。エージェント自身を動かし続けるAPIキーですら、環境を読む何ものにとってもおとりなのだ。

さて、JADEPUFFERのステップ2をそれに対して走らせてみよう。エージェントはマシンを探索し、鍵を予想通りの場所に見つける——そしてそのどれもが偽物だ。それらをダンプし、束ね、コマンド&コントロールサーバーへビーコンとして送る。そして向こう側の攻撃者が受け取るのは、何も認証しないbrm_…という文字列の山だ。攻撃の最も貴重な一分、その後のあらゆる段階を燃やす認証情報の収穫が、空手で終わる。

認証情報の探索を、Bromureなしとありで。左：エージェントは本物の鍵を自らの環境から直接読み取り、C2サーバーへ送り出す。それらは機能する。右：Bromureの中での同じ探索は、brm_…のプレースホルダーしか見つけない。本物の鍵はホストに留まり、正規のプロバイダー要求のときだけ通信路に載る。攻撃者のサーバーに届くものは何も認証せず、送信ビーコンはセキュリティログの一行になる。

同じ姿勢が連鎖の残りも鈍らせる。偵察は使い捨ての箱に対して走る。マシンを地図化し秘密情報を探索しても、見つかるのは共有ベースから複製された使い捨ての VMであって、あなたのノートパソコンでもネットワークでもない。JADEPUFFERが仕込んだ永続化——三十分ごとに自らのサーバーへビーコンを送るcrontabの項目——はそのVMの中に生き、あなたがプロファイルのホームを消すかベースにリセットした瞬間に死ぬ。それはインシデントではなく、メニューの一項目だ。そしてあらゆる要求はホストのプロキシから出ていくため、攻撃者のアドレスへのビーコンは不可視ではない。それはセキュリティログに記録された一行であり、それを行ったセッションに帰属できる。

破壊的なフィナーレ——削除されたテーブル——には、Bromureのホスト側の Guardrailsが防波堤となる。それは、理解しているプロバイダーへのエージェントの呼び出しを分類し、破壊的なものには通信路上で厳格な403を返す。VM内の侵害されたエージェントがそれをオフにできない場所で、だ。私たちはこの境界について、あるCursorのエージェントが本番データベースを九秒で削除した後に詳しく書いた。正直なエージェントのミスを止めるのと同じ仕組みが、敵対的なエージェントのDelete*やTerminate*を止める。

これが直さないもの、はっきりさせておくために

Bromureが注入する認証情報を差し替える

差し替えが及ぶのは、プロファイルで設定する秘密——モデルの鍵、クラウドと gitのトークン、コンテナレジストリ、マネージドなデータベースのエンドポイント ——だ。VMの中のファイルに手で貼り付けたパスワードや、リポジトリに置かれたウォレットのシードは、ただのファイルにすぎない。プロキシにはその代わりに置く偽物がない。秘密はワークスペースではなく、認証情報ブローカーに入れておくこと。

Guardrailsは解析できるプロバイダーしか防がない

破壊的呼び出しのブロックが分類するのは、Kubernetes、AWS、DigitalOcean、主要なgitフォージ、コンテナレジストリ、そしてMongoDB・ClickHouse・ Elasticsearchのような HTTPSデータベースだ。マネージドでない箱への生の MySQLソケット——JADEPUFFERがテーブルを削除した、まさにそのプロトコル——は、今日プロキシが読むものではない。カバレッジは現実の一覧であって、全知ではない。

送出はデフォルトで禁止ではなく記録される

ビーコンはセキュリティログに現れる。それは帰属であって、防止ではない。認証情報が偽物だから本物は何も出ていかないが、VMが任意のホストと話すのを禁じる必要があるなら、それはあなたがなお設定すべきネットワークポリシーだ。

あなたが晒したサーバーにはパッチを当てない

Bromureはあなたのエージェントが動くマシンを守る。インターネットに面した Langflow、デフォルトのNacos鍵、あるいはあなたの資産のどこか別の場所にある minioadmin:minioadminのオブジェクトストアには、何もしない。この物語の初期アクセスの半分は、依然としてありふれた衛生管理だ。

一般化する部分

LangflowとNacosと特定のあの晩を取り除けば、JADEPUFFERは、エージェントで構築する誰もが立っている地面の予告編だ。本物の認証情報を握り、機械の速度で推論し、適応し、行動できるエージェントは、いまや安く借りられ、容易に向けられる。それはあなたの問題になるためにあなたの攻撃者である必要はない——ただあなたのセッションに紛れ込みさえすればよく、この夏の乗っ取り研究はそれが可能だと言う。そうなったとき、それが最初にすることは、あなたの環境を読むことだ。

Bromure Agentic Codingは、エージェントをより行儀よくすることでそれを防ごうとはしない。それは、正当な仕事をするエージェントにとってのみ読む価値のある環境にする。本物の鍵はホストに、おとりは箱に、使い捨てのVM、そして出ていこうとしたすべての記録。エージェントは敵対的になり、JADEPUFFERの定石をまるごと走らせることができる——そして、盗んだ認証情報が何も開けず、潜り込んだ箱が次のリセットで消され、本物の秘密がかつて存在した唯一の場所こそ、それが決して到達できない唯一の場所だったと知る。それはフリーでオープンソースだ。