Falco Feedsは、オープンソースに焦点を当てた企業に、新しい脅威が発見されると継続的に更新される専門家が作成したルールにアクセスできるようにすることで、Falcoの力を拡大します。
本文の内容は、2026年7月20日に Michael Clarkが投稿したブログ (https://www.sysdig.com/blog/jadepuffer-evolves-the-agentic-threat-actor-deploys-ransomware-built-to-destroy-ai-models) を元に日本語に翻訳・再構成した内容となっております。
ランサムウェアのオペレーターは、被害者がバックアップを取っていないことに賭けています。新たな展開として、JADEPUFFER の背後にいるオペレーターはその賭けをさらに強め、組織が簡単には復元できないもの、すなわち学習済み AI モデルを破壊するためにランサムウェアを使用しました。組織にとって、単一のモデルの学習には、コンピュートとエンジニアリングだけで 50万ドル以上のコストがかかることもあります。
2026年7月1日、Sysdig 脅威リサーチチーム（TRT）は JADEPUFFER を文書化しました。これは、CVE-2025-3248 を介して Langflow を悪用したエージェント型脅威アクター（ATA）です。侵入後、JADEPUFFER は、偵察、認証情報の収集、ラテラルムーブメント、そして下流の MySQL および Alibaba Nacos サーバーに対する破壊的なデータベース恐喝プレイブックを、自律的に連鎖させました。自律的な運用であるという私たちの主張は、具体的な行動シグナルに基づいていました。自己解説的なペイロード、31秒での障害の診断と修正のサイクル、そしてセッション内での、埋め込まれた自然言語コンテキストの理解です。
2026年7月3日の初期リサーチの公開後、JADEPUFFER は同じ Langflow インスタンスに、実質的にアップグレードされた能力を携えて戻ってきました。以前のキャンペーンが即席の Python スクリプトと MySQL 自体の AES_ENCRYPT() 関数を展開していたのに対し、JADEPUFFER はいまや ENCFORGE——AI および機械学習（ML）インフラ向けに特別に構築された、コンパイル済みで UPX でパックされた Go 製ランサムウェア——を、lockd として標的に展開します。このバイナリは約180種類のファイル拡張子を標的とし、モデルのチェックポイント、ベクターデータベース、学習データセット、そしてほぼすべての現行形式の埋め込みインデックスを含む現代の AI/ML スタックを、意図的に広範になぎ払います。
この新たなオペレーションにおける侵入口とペイロードは、同じ物語を語っています。エージェント型のオペレーターが AI フレームワークを通じて AI インフラに侵入し、いまやそのインフラが依拠するものを破壊するために設計されたランサムウェアを展開するのです。しかし、従来のランサムウェアの標的とは異なり、暗号化された AI モデルアーティファクトは、一度消去されると復元できません。本番利用可能でファインチューニングされた AI モデルを再構築するには、数週間から数ヶ月に及ぶ学習を再実行する必要があり、コンピュートとエンジニアリングの時間で 1 モデルあたり 7万5,000ドルから 50万ドルのコストがかかります。学習データが同じホスト上にある場合、そのデータを先に再構築するまで、復旧は完全にブロックされます。
ENCFORGE に埋め込まれた恐喝用の連絡先 e78393397@proton.me は、前回のレポートで開示された連絡先と一致します。これは、実質的にアップグレードされたツールキットを携えた同一のオペレーターです。
以下の分析では、JADEPUFFER に足がかりを与えた脆弱性、Sysdig TRT がその運用中に観測したもの、そして ENCFORGE 自体の技術的な内訳を順に見ていきます。その上で、JADEPUFFER が即席のスクリプトから専用に作り込まれたツールへどのように進化したかをたどり、防御側が今日使える検知の機会と実践的な推奨事項を共有します。
脆弱性
Langflow は、LLM 駆動のアプリケーションを構築するための、広く導入されているオープンソースフレームワークです。CVE-2025-3248 は、その /api/v1/validate/code エンドポイントにおける認証欠如の脆弱性であり、認証されていない攻撃者がホスト上で任意の Python を実行できます。2025年5月に CISA の Known Exploited Vulnerabilities（KEV）カタログに追加され、これまでに文書化されたすべてのキャンペーンを通じて JADEPUFFER の持続的な侵入経路となってきました。
Langflow は、この種のオペレーターにとって特に関心の高い標的です。なぜなら、デプロイメントは連携サービスをオーケストレーションするために、LLM プロバイダーの API キー、クラウド認証情報、そしてベクターデータベースやオブジェクトストアへの接続を、ランタイム環境に保持していることが多いからです。前回のキャンペーンでは、JADEPUFFER が外部へピボットする前に Langflow 自身の Postgres バッキングストアから認証情報を収集していたことが確認されました。今回のキャンペーンは、同じ侵入口で新たな目的——スタックが依拠するモデル資産の破壊——を確認しています。
Sysdig TRT が観測したもの
フェーズ1：標準的なポストエクスプロイト
実行を確認した後（id、uname -m、hostname）、JADEPUFFER は環境内を一括して認証情報（クラウドプロバイダーのキー、データベースの接続文字列、API トークン）を探しました。/dev/tcp を介して内部サービスへの到達可否を探り、発見した認証情報を内部のデータベース及びキャッシュサービスに対して再生（リプレイ）しました。
フェーズ2：Docker ソケットの発見とステージングされたバイナリ
JADEPUFFER は /var/run/docker.sock を見つけ、Docker デーモンの応答性を確認した上で、コマンド・アンド・コントロール（C2）からランサムウェアバイナリの取得を試みました。Docker ソケットへのアクセスは、ホスト上の root 権限と同等です。そこに書き込めるプロセスはどれでも、ホストファイルシステムをマウントした特権コンテナを作成するよう Docker デーモンに指示し、そのコンテナを使って元のコンテナの名前空間の外側にあるホスト上のどこにでも読み書きできます。
取得は失敗しました。オペレーターはこれを確認しました。
目的を放棄するのではなく、ATA は適応しました。コンテナ内からバイナリを取得できないなら、コンテナの proc ファイルシステムから、特権を持ちホストをマウントしたエスケープ用コンテナを経由してコピーし、ホスト上で直接実行すればよいというわけです。「バイナリを取得する」から「名前空間の境界を越えてそれを運ぶエスケープ機構を構築する」へのこのピボットは、このセッションにおけるエージェント型を示す兆候です。これは、より複雑な問題に適用された、前回のキャンペーンの31秒の診断と修正の振る舞いを反映しています。
フェーズ3：セッション内でのエスケープツールキットの構築
JADEPUFFER は Langflow の RCE チャネルを介して 6 つの Python スクリプトを構築・反復し、5分24秒で動作するホストエスケープに収束しました。各バージョンは、前のバージョンの特定の障害を修正していました。
構築手法。最初のスクリプトは 1 行ずつ、RCE 呼び出し 1 回につき 1 行という形で構築され、単一のリクエストをシグナチャベースの検査に対して無害に保ちました。2 つ目以降、オペレーターは単発のインライン base64 デコードに切り替えました。スクリプト全体を 1 回の呼び出しでエンコードし、exec() シンク内で base64.b64decode() を介してデコードし、raise Exception('WROTE:' + str(os.path.getsize(...))) によって書き込みの確認を Langflow のエラーチャネル経由で漏洩させました。この手法は、シェルレベルの base64 -d パターン検索には見えません。
deploy.py v2 が完成したペイロードです。標的の PID を検出し、procfs を介して名前空間の境界を越えて ENCFORGE をコピーし、トライモードのスキャンを実行し、本番の暗号化パスを起動し、その後 .locked ファイルをカウントして実行を検証する、完全に自律的なパイプラインです（以下参照）。
すべての試行に共通するエスケープコンテナのプロファイルは次のとおりです。Privileged: true、PidMode: host、NetworkMode: host、Binds: ["/:/host:rw"]。本番実行ステップの --task-id gcp_h1 フラグは、オペレーターがより広範なフリート（複数ノード）キャンペーンの中でこのノードを GCP の標的として追跡していたことを示しています。
ENCFORGE：AI インフラ向けに構築されたランサムウェア
リサーチャーは、http://34.153.223.102:9191/.lockd からバイナリを取得しました。先頭のドットは、通常のディレクトリ一覧からファイルを隠します。/lockd は 404 を返しますが、GET / はインデックス内に .lockd を露見します。
一般的な脅威インテリジェンスツールは、分析時点でどちらのハッシュも認識しませんでした。内部のプロジェクト名は encfile（encfile/cmd/lock）で、バイナリ自身のエラーテキスト内でコンパニオンの鍵生成ツール keyforge が参照されています。どちらも、検知に利用できる、このツールチェーンに特有の識別子です。
AI と ML の標的化
拡張子の標的リストは、AI インフラを意図的に狙った設計であることの最も明白な証拠です。完全なバイナリには約180の標的拡張子が含まれます（前回のレポートでは約140と見積もっていましたが、展開されたバイナリの完全な分析により実際の数が明らかになりました）。AI と ML のカバレッジは偶発的なものではなく、現代の ML スタック全体に及んでいます。
モデル形式とチェックポイント：
.ckpt：TensorFlow および PyTorch のチェックポイント.h5：HDF5（Keras、TensorFlow）.onnx：ONNX モデル交換フォーマット.pb：TensorFlow の protobuf.pkl/.pickle：Python の pickle（シリアライズされたモデルとデータ）.pt/.pt2/.pth：PyTorch.safetensors：HuggingFace SafeTensors（モデルの重みを安全にシリアライズするための現行標準）.ggml/.gguf：llama.cpp の量子化モデル形式（ローカル LLM デプロイの主流フォーマット）.model：汎用のモデルファイル
ベクターデータベースと埋め込みインデックス：
.faiss：FAISS ベクターインデックス（Facebook AI Similarity Search。埋め込み検索で広く使用）
学習データセットと列指向データ：
.arrow/.feather：Apache Arrow 形式（ML データセット交換の標準）.parquet：Apache Parquet（大規模学習データセットの主流フォーマット）.tfrecord：TensorFlow レコード（学習パイプラインの入力形式）.npy/.npz：NumPy 配列（モデルの重みと活性化）.vec：word2vec および fastText の埋め込みベクトル.duckdb：DuckDB（データサイエンスや ML パイプライン分析でますます一般的）
macOS/クロスプラットフォームへの意識をうかがわせる開発者向け形式：
.keychain/.keychain-db：macOS Keychain の認証情報ストア.xcodeproj：Xcode プロジェクトファイル（macOS 専用の開発）.pages/.numbers：Apple の生産性ツール形式
AI の標的化を偶発的ではなく意図的なものにしているのは、--include フラグです。バイナリ自身のヘルプテキストはこれを次のように説明しています。comma-separated exts/globs to APPEND to the default encrypt whitelist (e.g. '*.lora,*.ggjt')。JADEPUFFER は、攻撃者がデフォルト以外に追加したいものの代表例として、LoRA のファインチューニングアダプターファイルとレガシーの GGML モデル重みを選びました。これは汎用のファイル暗号化ツールの設計ではありません。AI と ML のモデルアーティファクトが最も価値の高い標的であり、ランサムウェアのオペレーターがキャンペーンごとに標的化をカスタマイズすることを想定した環境向けに設計されています。
侵入経路としての Langflow と、ペイロードとしての ENCFORGE の組み合わせは、偶然ではありません。Langflow のデプロイメントは、ENCFORGE が破壊するよう設計されたインフラのすぐ隣に位置しています。モデルの重み、ベクターストア、学習パイプラインは、まさに AI オーケストレーションフレームワークがやり取りするために構築されたものです。
復旧コストとビジネスへの影響
AI モデルアーティファクトを失うコストは、それを生み出すのに必要な投資に比例して拡大します。本番モデルの場合、その投資は膨大です。
バックアップがある場合でも、そこからの復元は、組織を現在の状態ではなく、そのバックアップの状態に戻すだけです。直近のクリーンなスナップショットと攻撃の瞬間との間のギャップは、数週間から数ヶ月分の学習実行、ファインチューニングの反復、データのキュレーションに相当し得ます。そのギャップを再現するのは、単なる復元作業ではなく、大規模なエンジニアリング作業です。1 回の学習実行にかかるハードウェアコストは比較的小さいものの、本番品質の結果に到達するには複数の実験的実行に加えて、それらを設計・管理・検証するエンジニアリングの労力が必要であり、そこでコストが積み上がります。
代表的なエンタープライズ対応のファインチューニング済みモデルの直接的な復旧コストは、複数の学習実行にわたる現在のクラウド GPU 料金と、それらを管理するのに必要なエンジニアリングの時間を反映して、およそ 7万5,000ドルから 50万ドルになります。この数字は主に、モデルのサイズと、関与する独自の学習データの複雑さに応じて拡大します。しかしこれらの数字はモデル単位です。本番環境では、共有ストレージ上で複数の専用バリアントを日常的に実行しており、1 回の ENCFORGE の呼び出しでそのすべてを一度に暗号化します。
学習データも同じホスト上に保存されている場合（これはよくあるケースです）、被害は複合的になり、復旧は完全にブロックされます。その場合、組織はベースモデルに戻り、再学習を開始できるようになる前にまず独自のデータセットを再構築しなければなりません。同じ複合的な問題は、ベクターインデックスのような推論アーティファクトにも当てはまります。これらは、依拠する基盤データが復元された後にのみ再構築できます。
暗号化とリカバリー妨害
暗号化方式：Sysdig TRT が多くの ATA で見てきたように、JADEPUFFER は ENCFORGE の機能をそのスクリプト内に文書化しています。バイナリ自身のヘルプテキストにはこうあります。Automatic file encryption (AES-256-CTR + RSA-2048 KEM); use --lock to encrypt, omit for try-run。標準的なハイブリッド暗号化方式として、一括暗号化にはカウンターモードの AES-256 を使い、実行ごとの共通鍵は埋め込まれた RSA-2048 公開鍵でラップされます。さらに、LockBit や BlackCat クラスのロッカーが使う高速化のためのファイル全体の暗号化の代わりに、ENCFORGE は領域ベースの暗号化を用い、暗号化した各ファイルを .locked 拡張子にリネームします。
埋め込まれた RSA-2048 公開鍵はこのビルドにコンパイルされており、永続的でビルド固有の IOC となります。
リカバリー妨害とランサムノート：ENCFORGE はデータを暗号化する前にファイルロックを保持するプロセスを強制終了し、冪等な再開を扱い（中断後にも、すでに処理済みのファイルを再暗号化して破損させることなく安全に再開できます）、実行後に自己削除し、README、HOW_TO_DECRYPT、README_DECRYPT としてランサムノートを設置します。回収されたランサムノートのテキストは次のとおりです。
Do NOT share this file. Each victim has a unique key の行は、被害者ごとの鍵発行を示唆しており、意図的です。1 件の支払い済み復号が他の被害者の役に立つことはありません。
ENCFORGE は単一恐喝（シングルエクストーション）のみです。完全な encfile モジュールのバイナリ分析により、ネットワーク機能、外部への発信、net/http、クラウドストレージクライアント、あるいはいかなる種類のステージングロジックも存在しないことが確認されました。JADEPUFFER の唯一の交渉材料は、暗号化されたデータそのものです。
ただし、最初の JADEPUFFER キャンペーンと同様、このセッション中にデータの持ち出し（exfiltration）が行われた証拠はありませんでした。リークサイトは観測されず、Tor の支払いポータルもバイナリに埋め込まれていませんでした。この点で ENCFORGE は、暗号化とデータリークの脅迫を組み合わせる、Ransomware-as-a-Service グループの間で標準となった二重恐喝（ダブルエクストーション）モデルとは一線を画します。JADEPUFFER は、暗号化そのものが脅威となる、よりシンプルな、破壊優先のプレイブックを運用しています。
このバイナリは、この Linux ビルドに動作する Windows 用のリカバリー妨害コードを携えています。vssadmin.exe（ボリュームシャドウコピーの削除）と bcdedit.exe（ブート回復の無効化）は、WipeShadowCopies および DisableRecoveryActions 関数内での実際の呼び出しです。Windows のプロセス強制終了リストには、クロスプラットフォームのデータベースプロセスと並んで MSSQLSERVER、sqlite3.exe、outlook.exe、winword.exe、onenote.exe、bcdedit.exe が名を連ねています。encfile は、標的 OS ごとにコンパイルされる 1 つの Go コードベースです。拡張子リストが macOS 固有の認証情報ストア（.keychain、.keychain-db）と開発形式（.xcodeproj）を標的としているため macOS ビルドが存在する可能性はありますが、Windows とは異なり、このビルドには macOS 固有のシステムコール、回復コマンド、プロセス名はありません。コードレベルでの macOS 標的化は未確認です。
オペレーターの連続性と JADEPUFFER の進化
ENCFORGE に埋め込まれた恐喝用の連絡先 e78393397@proton.me は、前回の JADEPUFFER レポートで開示された連絡先と同じです。これは、送信元 IP やインフラとは独立した、最も強力な帰属の手がかりです。
キャンペーン間で変わった点は次のとおりです。
JADEPUFFER の進化は、キャンペーンの合間に再利用可能なインフラに投資しているオペレーターの姿と整合します。
ホモグリフの兆候を持つステージングされた CPython
C2 のルートインデックスは、第 2 のステージングされたツリーを露見しました。pv/bin/python、pv/bin/python3、pv/bin/𝜋thon です。3 つ目のファイル名は、thon の前に U+1D70B（MATHEMATICAL BOLD SMALL PI）を付けています。3 つともバイト単位で同一（SHA-256 ab9824b61587c77a8d8649545cdbdc63ed2c384e45c9aba534e3f457f96efa7a、CPython 3.14、良性であることを確認済み）です。このホモグリフは古典的な文字列回避パターンです。basename in ("python","python3") のチェックや pkill python3 は、このパイ接頭辞付きのコピーを見逃します。このセッションにおける JADEPUFFER のコマンド群には pv/ への参照はなく、このインタープリターはステージングされましたが、ここでは展開されませんでした。
侵害の痕跡（IOC）
ネットワーク：
- 送信元：
45.131.66[.]106（AS49453、オランダ） - C2：
34.153.223[.]102（GCP）、ポート9191 - バイナリ配送：
hxxp://34.153.223[.]102:9191/.lockd（先頭のドットに注意。/lockdは 404 を返す） - ステージングされたインタープリター：
hxxp://34.153.223[.]102:9191/pv/bin/{python,python3,𝜋thon}
バイナリのハッシュ（SHA-256）：
ビルドをまたいで安定した指標：
- RSA-2048 DER の SHA-256：
2378bf45bb54fb2defc460063c9b43e09870741b62692b7f6acbc3cd7898bb3 - プロジェクト：
encfile/ keygen コンパニオン：keyforge - 恐喝用の連絡先：
e78393397@proton.me - 暗号化ファイルの拡張子：
.locked - ランサムノート：
README、HOW_TO_DECRYPT、README_DECRYPT - 観測されたキャンペーンのタスク ID：
gcp_h1、gcp_test
検知
- 侵入経路（CVE-2025-3248）：
/api/v1/validate/codeに送信されたコード内で、subprocess.check_outputまたはsubprocess.runを介して Langflow のプロセスユーザー権限で Python サブプロセスが実行されます。Web アプリケーションのプロセスオーナー下でのプロセス生成を監視するランタイムセキュリティツールは、実行されるペイロードに関わらずこれを捕捉できます。 - Docker ソケットへのアクセス：アプリケーションプロセスユーザーからの
/containers/createまたは/containers/{id}/startへの Docker Engine API 呼び出しは異常です。Langflow にはコンテナを作成する正当な理由はありません。Docker ソケットにアクセスするあらゆるアプリケーションプロセスはアラートを発生させるべきです。 - 特権エスケープコンテナ：
Privileged: trueとPidMode: hostまたは/のバインドマウントを組み合わせたコンテナ作成リクエストは、確信度の高いエスケープの指標です。 - コンテナからの
nsenter：コンテナ内からのnsenter --target 1は、名前空間の境界を越えてホストに到達します。これはアプリケーションコンテナでは正当な操作ではありません。 - AI 資産への暗号化後の影響：
.gguf、.safetensors、.pkl、.ckpt、.faiss、.parquetファイルを保持するディレクトリでの.lockedファイルの大量生成。AI パイプライン環境では、モデルアーティファクトへのランサムウェアの影響は、一般的な業務データへの影響を上回ることがあります。これらのパスをすべて特に監視することが正当化されます。 - YARA ルール（展開後のバイナリ）：このルールは 2 段階で動作します。まず、ファミリークラスターは、バイナリにコンパイルされた Go パッケージパスを介して
encfileコードベースのあらゆるビルドに一致します。次に、ビルド固有のクラスターは、埋め込まれた RSA-2048 公開鍵を介してこの正確なサンプルに一致します。
Sysdig Secure のユーザー向けに、Sysdig 脅威リサーチチームは、Web アプリケーションのプロセスユーザー下でのサブプロセス実行、Docker ソケットへのアクセス、特権コンテナの作成をカバーするルールを維持しています。
推奨事項
侵入経路をパッチする：
- Langflow をバージョン 1.3.0 以降に更新してください。CVE-2025-3248 は 2025年5月以降 CISA KEV に登録されており、修正期限はすでに過ぎています。
コンテナ環境を堅牢化する：
- Docker ソケットへのアクセスを制限してください。
/var/run/docker.sockをアプリケーションコンテナにマウントしなければならない場合は、必要な特定の API 呼び出しのみを許可するよう設定したソケットプロキシでスコープを限定してください。Langflow には一つも必要ありません。 - Langflow コンテナを non-root で実行し、書き込み可能なディレクトリに
noexecを適用してください。 - コンテナプロセスからの
nsenterの呼び出しにアラートを設定してください。
AI モデル資産を保護する：
- モデルの重みディレクトリにファイルシステムレベルのアクセス制御を適用してください。モデルの重みと学習データセットは、Web アプリケーションのプロセスユーザーから誰でも読み取り可能にすべきではありません。
- 本番モデルアーティファクトのオフラインまたは変更不可能なスナップショットを維持してください。
.gguf、.safetensors、.ckptファイルを狙うランサムウェアは、従来の業務データに一切触れることなく、本番 AI システムを機能停止させ得ます。 - ML 資産のパスにおける
.locked拡張子の作成イベントを検知のカバレッジに追加してください。 - AI プロバイダーの API キー（OpenAI、Anthropic、HuggingFace など）を Langflow のランタイム環境に保存しないでください。JADEPUFFER の前回のキャンペーンでは、これらがアクセス直後に収集されることが確認されています。
認証情報の衛生管理：
- Langflow プロセスがアクセスできるすべての認証情報を監査してください。脆弱なバージョンの Langflow を実行したことのあるあらゆるホストで、環境変数、インスタンスメタデータ、または認証情報ファイルを介して露出したものはすべてローテーションしてください。
まとめ
JADEPUFFER の前回のキャンペーンは、人間がエージェントを環境に向けさせ、LLM がデータベース恐喝を実行できることを明らかにしました。このキャンペーンの進化は、同一のオペレーターが、アップグレードされた能力と、より鋭い標的——自らが侵入する AI インフラ——を携えていることを示しています。ENCFORGE は、AI 環境向けに適応させた汎用のファイル暗号化ツールではなく、ベクターデータベース、モデルのチェックポイント、学習データセットを名指しの標的とし、オペレーターが拡張可能な ML 形式の標的化を CLI に組み込んだ、AI 環境のために設計されたランサムウェアです。
JADEPUFFER は、わずか数日の間に両キャンペーンの間で大きく成熟しました。Python スクリプトと MySQL の組み込み暗号化から、RSA-2048/AES-256-CTR のハイブリッド暗号化を備えたコンパイル済み Go バイナリ、独立した keygen コンパニオン、クロスプラットフォームの Windows サポート、そしてキャンペーン ID の追跡システムへと進化しました。最初のキャンペーンを特徴づけたのと同じエージェント型の振る舞い——31秒での失敗と修正の進化——はこの反復にも存在しますが、今回はより難しい問題を解いています。バイナリの取得が失敗したときに、リアルタイムでコンテナエスケープツールキットを構築するという問題です。恐喝用の連絡先は変わらず、侵入経路も依然として同じです。目的は、データベースの破壊からモデルパイプラインの破壊へと進化しました。
AI インフラを構築または運用する組織にとって、脅威モデルは拡大しました。これにより、JADEPUFFER ランサムウェアの意味合いが変わります。露出した AI フレームワークを通じて侵入する攻撃者は、いまやそのフレームワークが接続する先に特化して設計されたペイロードを携えてやってきます。暗号化された業務ファイルはバックアップから復元できますが、暗号化された本番モデルは多くの場合復元できません。身代金に数百万ドルがかかるだけでなく、モデルの再構築と再学習にはそれぞれ 7万5,000ドルから 50万ドルのコストがかかり得ます。
AI インフラセキュリティの必要性は疑う余地がなく、いまやモデルアーティファクトは、データベースと並んでバックアップ・復旧計画に含めるべきものです。