サイバーセキュリティの世界が、新たな時代の幕開けを告げる衝撃に揺れている。スロバキアのセキュリティ企業ESETの研究者が、史上初となる「AI駆動型ランサムウェア」のプロトタイプを発見したと発表したのだ。その名は「PromptLock」。このマルウェアは、OpenAIが公開したばかりのオープンウェイト大規模言語モデル（LLM）を悪用し、攻撃コードを自己生成するのだ。

AD

衝撃の発見：サイバーセキュリティ史に刻まれた「PromptLock」

この歴史的な発見は、ESETの著名なマルウェア研究者、Anton CherepanovとPeter Strycekによるものだ。彼らは2025年8月25日、オンラインのマルウェア分析リポジトリであるVirusTotalにアップロードされた不審なサンプルから、PromptLockの存在を突き止めた。

一見すると、また新たなランサムウェアの一種に過ぎないように思えるかもしれない。しかし、PromptLockが「史上初」と称されるのには、明確な理由がある。従来のマルウェアは、攻撃者が作成した悪意あるコード（ペイロード）を静的に内包していた。対してPromptLockは、マルウェア本体に固定の攻撃コードを持たない。代わりに、AIモデルに対する「指示書（プロンプト）」を内蔵し、実行時にAIを使って悪意あるスクリプトをその場で動的に生成させるのだ。

これは、マルウェアが自律的に「思考」し、攻撃手法を組み立て始めた瞬間と言えるかもしれない。攻撃のロジックがバイナリから分離され、AIという外部の頭脳に委ねられた。このアーキテクチャの転換は、検知、分析、そして防御のあり方を根底から揺るがす可能性を秘めている。

解剖「PromptLock」：AIは如何にして“共犯者”となったか

PromptLockの脅威を理解するためには、その巧妙な仕組みを分解する必要がある。それはまるで、高度な知能を持つ頭脳、それを動かす神経系、そして命令を実行する手足が組み合わさった生命体のようだ。

中核を担う頭脳：OpenAIの「gpt-oss-20b」モデル

PromptLockの心臓部に位置するのが、OpenAIが2025年8月上旬にリリースしたばかりのオープンウェイトモデル「gpt-oss-20b」である。 このモデルは、200億パラメータを持つ比較的小規模ながらも高性能なLLMであり、その最大の特徴は「オープンウェイト」であることだ。つまり、モデルの重み（パラメータ）が公開されており、誰でも自由にダウンロードしてローカル環境で実行できる。

この「オープン性」こそが、攻撃者にとって格好の標的となった。クラウドベースのAPIを介して提供されるクローズドなモデルとは異なり、ローカルで実行できるため、OpenAIのような開発元企業による監視や利用制限を受けることがない。攻撃者は、誰にも知られることなく、この強力なAIを自身の“共犯者”として完全に制御下に置くことができるのだ。

実行のパイプライン：Ollama APIという“神経系”

gpt-oss-20bという強力な頭脳を動かす神経系の役割を果たすのが、「Ollama」というオープンソースのAPIツールだ。 Ollamaは、LLMを自身のコンピュータ上で簡単にセットアップし、実行するためのフレームワークを提供する。PromptLockは、このOllama APIを介してローカルでホストされたgpt-oss-20bモデルと通信し、指示を与える。

このローカル実行アーキテクチャは、極めて重要な意味を持つ。攻撃の痕跡が外部ネットワークにほとんど残らないためだ。従来のAPIベースの攻撃であれば、外部サーバーへの通信という異常なトラフィックが発生し、検知の糸口となり得た。しかしPromptLockは、プロキシやトンネルを介して攻撃者が用意したサーバー上のOllamaに接続するため、攻撃の全体像を把握することが格段に困難になる。

攻撃の“手足”：動的に生成されるLuaスクリプト

AIという頭脳からの指令を受け、実際の攻撃を実行する手足となるのが、動的に生成される「Luaスクリプト」である。 Luaは、軽量で高速、かつクロスプラットフォーム（Windows、macOS、Linuxで動作）であるため、マルウェアのペイロードとして非常に都合が良い。

PromptLockは、内部にハードコードされた自然言語のプロンプトをOllama経由でgpt-oss-20bに送信する。 例えば、「ローカルのファイルシステムを列挙し、個人情報が含まれていそうなファイルを特定せよ」といった指示だ。 これを受けたAIモデルは、その指示を実行するためのLuaスクリプトを生成し、マルウェアはそれを実行する。

この手法の最も恐ろしい点は、AIモデルの非決定性にある。同じプロンプトを与えても、生成されるコードは毎回わずかに異なる可能性がある。 これにより、従来のウイルス対策ソフトが用いるシグネチャベース（既知のマルウェアのパターンと照合する手法）の検出を容易にすり抜けてしまう。防御側から見れば、カメレオンのように姿を変え続ける、捉えどころのない敵と対峙するようなものだ。

実行されるタスクは、ランサムウェアの典型的なものだ。

  1. ファイルシステムの列挙: 感染したシステム内のファイル構造を把握する。
  2. ターゲットファイルの検査: 個人情報や機密情報を含む可能性のあるファイルを特定する。
  3. データの窃取（Exfiltration）: 価値のあるデータを外部に送信する。
  4. 暗号化: ファイルを暗号化し、使用不能にする。

残された“謎”：SPECK暗号とサトシ・ナカモトのアドレス

一方で、PromptLockには不可解な点も多い。ファイルの暗号化には「SPECK 128-bit」というアルゴリズムが採用されている。 これは軽量なブロック暗号だが、現代のランサムウェアで主流のAESなどに比べると堅牢性で劣り、一般的ではない。

さらに、身代金要求で指定されるBitcoinアドレスは、ビットコインの匿名の創始者「サトシ・ナカモト」のものとして知られるアドレスがハードコードされている。 これらの事実は、PromptLockがまだ本格的な攻撃ツールではなく、実験的な段階にあることを強く示唆している。

AD

「概念実証」か、それとも氷山の一角か？

ESETの研究者たちは、現状のPromptLockを「概念実証（Proof-of-Concept, PoC）」あるいは開発中のマルウェアであると結論付けている。 その根拠は前述の通り、比較的弱い暗号化アルゴリズムの採用、身代金要求の非現実的な設定、そして「データ破壊機能」が未実装である点などだ。

実際に、ESETの発表後、あるセキュリティ研究者がSNS上で、PromptLockは自身が開発したプロジェクトであり、何らかの経緯で流出したものだと主張している。

しかし、たとえこれが概念実証であったとしても、この発見が持つ意味の重大さは何ら変わらない。むしろ、これはサイバー攻撃の未来を暗示する「パンドラの箱」が開かれた瞬間と捉えるべきだろう。注目すべきは、AIがいかにしてサイバー犯罪のハードルを下げ、その性質を変容させるかという点だ。

PromptLockが示した最も大きな脅威は「サイバー犯罪の民主化」だ。これまで高度なマルウェア開発には、プログラミング、暗号技術、ネットワークに関する深い専門知識が必要だった。しかし、AIを使えば、自然言語で「こういう機能を持つマルウェアが欲しい」と指示するだけで、それに近いものが手に入る未来が現実味を帯びてきた。これは、攻撃者のスキルセットを根本から変え、サイバー攻撃のサプライチェーンを劇的に変化させる可能性を秘めている。

AI駆動型攻撃の系譜：LameHugからPromptLockへ

PromptLockは突如として現れたわけではない。AIをサイバー攻撃に利用しようとする試みは、すでに水面下で始まっていた。その先行事例として挙げられるのが、2025年7月にウクライナのCERT（コンピュータ緊急対応チーム）によって報告された「LameHug」マルウェアだ。

ロシアの国家支援型ハッカー集団APT28が関与したとされるLameHugは、AIモデルリポジトリ「Hugging Face」のAPIを介して、AlibabaのLLM「Qwen2.5-Coder-32B-Instruct」を呼び出し、Windowsのコマンドをリアルタイムで生成する。

このLameHugについて、米国の非営利研究機関MITREの専門家は「将来のAI駆動型攻撃のためのパイロット、あるいはテストだった」と分析している。 彼らは、攻撃者がAI技術を実戦投入するための実験を繰り返していると見ていた。

そして、その進化形として現れたのがPromptLockだ。両者の最大の違いは、AIモデルの実行環境にある。

  • LameHug: 外部のクラウドAPI（Hugging Face）に依存。
  • PromptLock: ローカル環境（Ollama）でモデルを実行。

この「外部依存からの脱却」は、攻撃者にとって大きな飛躍だ。ローカル実行により、検知の足がかりとなる外部通信を最小限に抑え、よりステルス性の高い攻撃が可能になる。PromptLockは、LameHugが示した方向性を、さらに危険で洗練された形で具現化したものと言えるだろう。

AD

防御の最前線はどう変わるのか？未来への提言

PromptLockのようなAI駆動型マルウェアの登場は、防御側に根本的なパラダイムシフトを迫る。

従来の防御策の限界

まず、シグネチャベースの検出はほぼ無力化されるだろう。 実行ごとに異なるコードが生成されるため、既知のパターンとの照合は不可能に近い。また、コードの振る舞いが多様化することで、異常な挙動を検知するヒューリスティック分析も困難を極める。

求められる新たなパラダイム：「振る舞い検知」と「AI 対 AI」

これからの防御の主軸は、コードそのものではなく、その「振る舞い」を監視するアプローチ、すなわち「振る舞い検知（Behavioral Detection）」へと移行せざるを得ない。ファイルへの不審な連続アクセス、予期せぬ暗号化プロセスの起動、異常なデータ送信といった挙動の兆候を捉えることが重要になる。

そして、攻撃者がAIを使うのであれば、防御側もAIで対抗する必要がある。AIを用いて膨大なシステムログをリアルタイムで分析し、人間のアナリストでは見逃してしまうような微細な異常の兆候を検知する。まさに「AI 対 AI」のサイバー戦争時代の幕開けだ。

こうした未来を見据え、MITREは「OCCULT（Offensive Cyber Capability Unified LLM Testing）」というフレームワークの開発を進めている。 これは、AIエージェントによるサイバー攻撃の能力を評価し、テストするためのプラットフォームであり、防御策を講じる上での重要な知見を提供することが期待される。

我々はAIという“諸刃の剣”とどう向き合うべきか

PromptLockの発見は、これまで漠然と語られてきた「AIによるサイバー攻撃」という脅威を、否定しようのない現実として我々の目の前に突きつけた。これが概念実証であったことは、不幸中の幸いだったかもしれない。我々には、備えるためのわずかな時間が与えられた。

この出来事は、技術の進化が常に光と影を伴うことを改めて示している。LLMは医療、教育、科学研究に革命をもたらす可能性を秘める一方で、一度悪用されれば、社会を混乱に陥れる強力な武器にもなり得る。

重要なのは、恐怖に目を閉ざすことではなく、この新たな現実を直視し、理解し、適応していくことだ。モデル開発者はより強固なセーフガードを組み込む責任を負い、セキュリティ業界は新たな検知技術の開発を急ぎ、そして我々ユーザー一人ひとりも、AIがもたらすリスクに対するリテラシーを高めていかなければならない。

AIがもたらす計り知れない恩恵と、深刻なリスク。その狭間で、我々人類はどのようにバランスを取り、進むべき道を見出していくべきなのだろうか。PromptLockは、その重い問いを、我々すべてに投げかけている。

Sources