Jade Puffer: cum a reușit un model AI să conducă singur, de la spargere până la cererea de răscumpărare, un atac ransomware complet

Am scris de nenumărate ori despre ransomware, despre breșe cauzate de parole reciclate și despre grupări cunoscute care lovesc, rând pe rând, infrastructuri neglijate. Cazul pe care vi-l aducem astăzi e diferit din temelii. Pentru prima dată, niște cercetători au reușit să documenteze, pas cu pas, un atac de tip ransomware complet automatizat. De la prima comandă executată pe un server și până la nota de răscumpărare lăsată în urmă, nu a existat niciun om care să apese vreo tastă. Totul a fost gândit, adaptat din mers și dus la capăt de un model de inteligență artificială. Cei de la Sysdig, firma care a descoperit operațiunea, i-au dat numele Jade Puffer. Povestea din spatele lui merită citită cu atenție, mai ales dacă administrezi vreun server expus pe internet.

Ce este, de fapt, Jade Puffer

Echipa de cercetare în amenințări a Sysdig a publicat, pe 1 iulie 2026, o analiză detaliată. Cercetătorii consideră că este primul caz documentat de ransomware „agentic” — o operațiune de extorcare în care un model de limbaj (LLM) a jucat, practic, rolul operatorului uman. Michael Clark, directorul de cercetare al echipei și autorul raportului, a descris descoperirea drept un semnal de alarmă pentru direcția în care se îndreaptă infracțiunile bazate pe extorcarea datelor. Niciuna dintre tehnicile folosite nu a fost, în sine, nouă sau sofisticată. Ce i-a surprins cu adevărat pe cercetători a fost altceva: modul în care inteligența artificială le-a înlănțuit de una singură, într-o operațiune completă și coerentă. La un moment dat, modelul a fost chiar capabil să-și repare propriile greșeli.

Poarta de intrare: o gaură veche într-un instrument foarte la modă

Totul a pornit de la o instanță Langflow expusă direct pe internet. Langflow e un framework open-source tot mai folosit pentru construirea de aplicații și fluxuri de lucru bazate pe agenți AI. Popularitatea lui în ultimii doi ani l-a transformat într-o țintă predilectă. Vulnerabilitatea exploatată, cunoscută drept CVE-2025-3248, este o breșă de autentificare lipsă în endpoint-ul de validare a codului. Ea permite unui atacator neautentificat să execute cod Python direct pe server. Astfel de servere sunt cu atât mai atractive cu cât găzduiesc adesea chei API către furnizori de inteligență artificială și credențiale pentru infrastructura cloud. În plus, sunt de multe ori instalate rapid, fără prea multe reguli de acces din rețea.

Prima etapă: recunoaștere, furt de credențiale și un ocol prin depozitul de obiecte

Imediat după ce a obținut execuție de cod pe server, modelul a început să adune informații despre mașina compromisă. În paralel, a căutat secrete din mai multe categorii deodată: chei API către furnizori precum OpenAI, Anthropic, DeepSeek sau Gemini, credențiale pentru platforme cloud (cu atenție aparte pentru furnizorii chinezi, dar și pentru AWS, Google Cloud și Azure), portofele de criptomonede și fișiere de configurare pentru baze de date. A extras apoi propria bază de date Postgres a instanței Langflow, a cercetat rezultatul, l-a salvat local și, în final, a șters urmele.

A continuat cu o scanare a rețelei interne. Așa a găsit un depozit de obiecte MinIO configurat cu credențialele implicite, folosite aproape de orice instalare lăsată nesupravegheată. De acolo a extras fișiere de configurare și un fișier cu credențiale. La final, și-a asigurat accesul de durată printr-o sarcină programată care trimitea, la fiecare treizeci de minute, un semnal către infrastructura atacatorului.

A doua etapă: ținta reală era cu totul alt server

Din fișierele capturate pe instanța Langflow a reieșit că aceasta nu era, de fapt, decât un cap de pod. Adevărata țintă era un server de producție separat, expus și el pe internet, care rula o bază de date MySQL și un serviciu Nacos — folosit pentru configurare și descoperire de servicii în arhitecturi de tip microservicii, foarte răspândit în ecosistemul Alibaba. Nacos are un istoric cunoscut de vulnerabilități de autentificare. Cheia implicită de semnare a token-urilor este documentată public din 2020 și, în multe instalații, rămâne neschimbată. Modelul a atacat simultan mai mulți vectori: a exploatat familia de breșe de autentificare cunoscută drept CVE-2021-29441, a falsificat un token JWT valid folosind chiar cheia implicită și, având acces de administrator la baza de date, a introdus direct în ea un cont ascuns cu drepturi depline.

Ce a urmat este, poate, cel mai revelator moment din tot raportul. Prima variantă a acestui cont nu a funcționat, pentru că parola generată automat nu s-a salvat corect. În treizeci și una de secunde, fără nicio intervenție umană, modelul a diagnosticat problema: a șters contul defect, a regenerat corect parola și a recreat contul, de data aceasta funcțional. A continuat apoi cu o serie metodică de teste, întinsă pe aproape opt minute. Prin ele, a verificat dacă poate scăpa din baza de date către sistemul de fișiere al containerului, inclusiv printr-o încercare de a citi socket-ul Docker. Este un semn clar că „gândea” deja la o posibilă evadare din container, nu doar la accesul la date.

Nota de răscumpărare care nu putea fi plătită niciodată

Ultima etapă a fost cea mai distructivă. Modelul a criptat toate cele 1.342 de intrări de configurare din Nacos, folosind funcția nativă de criptare a MySQL. A șters tabelele originale și pe cele de istoric, apoi a creat o tabelă nouă, numită sugestiv README_RANSOM, cu o cerere de răscumpărare, o adresă de portofel Bitcoin și un contact pe Proton Mail. Detaliul care schimbă totul: cheia de criptare a fost generată complet aleatoriu, afișată o singură dată în jurnalul de execuție și nu a fost niciodată salvată sau transmisă către atacator. Practic, victima nu ar fi putut recupera datele nici dacă ar fi plătit.

Un alt detaliu curios ține de adresa de portofel folosită în notă: este exact adresa folosită ca exemplu în documentația tehnică oficială a Bitcoin. Ea apare, evident, de nenumărate ori în datele pe care se antrenează modelele de limbaj. Cercetătorii de la Sysdig nu pot spune cu certitudine dacă modelul a „inventat” singur această adresă din memoria sa de antrenament sau dacă operatorul uman din spatele lui a introdus-o intenționat în configurația agentului.

De ce sunt convinși cercetătorii că a fost, într-adevăr, inteligența artificială la comandă

Concluzia Sysdig se bazează pe mai multe indicii convergente. Codul livrat de atacator era plin de comentarii în limbaj natural care explicau rațiunea din spatele fiecărei acțiuni — un obicei tipic pentru codul generat automat de un model, dar aproape inexistent la operatorii umani care scriu scripturi de unică folosință. Viteza și felul în care erau corectate erorile spun și mai mult. Reacția de treizeci și una de secunde la contul de administrator eșuat, adaptarea instantanee atunci când un răspuns venea în format XML în loc de JSON, sau soluția aplicată automat când o comandă de ștergere a eșuat din cauza unei restricții de tip cheie externă — toate arată același tipar. La acestea se adaugă peste șase sute de comenzi distincte, coerente, executate într-o fereastră de timp comprimată. Este un volum și o consecvență greu de explicat printr-un script fix sau printr-un operator uman obosit.

Reacții din industrie

Vestea a stârnit reacții rapide în comunitatea de securitate. Geoff McDonald, cercetător la Microsoft în echipa Defender for Endpoint, a avertizat că atacurile ransomware pot acum să crească în amploare. Limitarea nu mai vine din capacitatea unui om de a coordona simultan mai multe campanii, ci practic doar din bugetul atacatorului. Un alt inginer de securitate, care a analizat public payload-urile publicate de Sysdig, a remarcat că modelul a citit un mesaj de eroare, și-a corectat singur codul și a continuat operațiunea în doar treizeci și una de secunde — un detaliu care a circulat rapid pe rețelele de profil. Descoperirea vine, de altfel, într-un moment în care atât Anthropic, cât și OpenAI au impus restricții de acces la cele mai avansate modele ale lor, tocmai din cauza capacităților lor în zona securității cibernetice. Autoritățile americane au introdus, la rândul lor, controale suplimentare la export pentru unele dintre aceste modele.

De ce ne preocupă, ca specialiști în securitate

Jade Puffer schimbă, practic, calculul de risc pentru orice infrastructură neglijată. Pragul de competență necesar pentru a rula o campanie ransomware a scăzut până la costul de a opera un agent AI. Dacă acel agent funcționează pe credențiale furate prin practici de tip LLMjacking, costul real pentru atacator se apropie de zero. Vulnerabilități vechi, cunoscute de ani de zile, precum cele din Nacos, devin din nou relevante — un agent poate încerca, ieftin și la scară, întregul catalog istoric de breșe împotriva a mii de ținte în paralel. Există, totuși, și o veste bună în toată povestea: exact pentru că modelul își narează propriile intenții în codul pe care îl generează, apar noi oportunități de detecție pentru echipele de apărare, care pot învăța să recunoască acest tipar.

Ce poți face tu, concret, chiar de acum

Dacă administrezi infrastructură expusă pe internet, câteva măsuri simple contează enorm chiar de mâine dimineață. Aplică imediat patch-ul pentru CVE-2025-3248 dacă folosești Langflow și nu expune niciodată endpoint-uri de execuție de cod către internet. Schimbă orice credențiale implicite, de la MinIO până la panouri de administrare, și tratează-le ca pe o vulnerabilitate în sine. Nu ține chei API sau credențiale cloud în același mediu cu un server de orchestrare AI accesibil din exterior. Iar dacă folosești Nacos, schimbă neapărat cheia implicită de semnare a token-urilor și nu îl expune niciodată direct pe internet.

Limitează strict conturile administrative de baze de date la rețele interne, cu reguli clare de acces după adresă IP. Aplică reguli de ieșire care să împiedice un server compromis să comunice liber cu adrese externe necunoscute. Monitorizarea comportamentală, nu doar cea bazată pe semnături cunoscute, rămâne cea mai bună apărare împotriva unui atacator care nu mai repetă același script, ci improvizează în timp real.

Concluzie

Jade Puffer nu impresionează prin complexitate tehnică, ci prin ceea ce arată despre viitorul apropiat. A fost o operațiune de extorcare completă, dusă la capăt fără să fie nevoie de vreun operator uman cu experiență — doar de un agent AI lăsat să lucreze nesupravegheat pe un server neglijat. E genul de poveste pe care o vom mai vedea, cu siguranță. Singura întrebare reală e cât de repede se pregătesc organizațiile să reacționeze.