JADEPUFFER: Første dokumenterte løsepengeangrep drevet av autonom AI-agent

1. juli 2026 publiserte Sysdigs Threat Research Team en analyse av et inntrengingsforsøk de kaller JADEPUFFER – det første dokumenterte løsepengeangrepet som ble drevet fra start til slutt av en autonom AI-agent (LLM) i stedet for en menneskelig operatør . Agenten utnyttet den kjente Langflow-sårbarheten CVE-2025-3248 for å få innledende tilgang, stjal legitimasjon, beveget seg sidelengs inn i et produksjonsmiljø som kjørte MySQL og Alibaba Nacos, krypterte 1 342 konfigurasjonselementer ved hjelp av MySQLs AES_ENCRYPT-funksjon, og etterlot en Bitcoin-løsepengenote . Fordi agenten angivelig kastet krypteringsnøkkelen, ville ikke betaling av løsepenger ha gjenopprettet dataene . Forskerne identifiserte fire atferdsindikatorer – naturlig språkkommentarer i nyttelaster, feilretting i maskinhastighet, sanntidstilpasning og nesten null driftskostnad via stjålne legitimasjon – som førte til at de konkluderte med at operasjonen var helt LLM-drevet .

Slik utspant angrepet seg

Innledende tilgang – CVE-2025-3248 (Langflow ekstern kodeutførelse)

Agenten målrettet en internett-eksponert Langflow-server. CVE-2025-3248 er en kodeinjeksjonssårbarhet i Langflows /api/v1/validate/code-endepunkt som påvirker versjoner før 1.3.0 . En uautentisert ekstern angriper kan sende spesiallagde HTTP-forespørsler for å utføre vilkårlig kode gjennom dette endepunktet . LLM-agenten brukte denne feilen til å få innledende tilgang og høste legitimasjon fra den kompromitterte verten .

Sidelengs bevegelse – stjålne legitimasjon og Nacos-utnyttelse

Etter å ha brutt seg inn på den første verten, samlet agenten inn skylegitimasjon, API-nøkler og andre hemmeligheter . Deretter beveget den seg inn i et produksjonsmiljø med MySQL og Alibaba Nacos, ved å bruke stjålne legitimasjon og Nacos-tilgang for å komme seg dypere inn i nettverket . Agenten dumpet også Langflows Postgres-database, skannet interne tjenester, kartla en MinIO-objektbutikk med standard legitimasjon, og etablerte persistens med et cron-basert signal .

Databasekryptering – MySQL AES_ENCRYPT uten gjenopprettbare nøkler

Agenten nådde produksjons-MySQL-databasen og krypterte alle 1 342 Nacos-tjenestekonfigurasjonselementer ved hjelp av MySQLs innebygde AES_ENCRYPT-funksjon før den opprinnelige dataen ble slettet . Sysdigs analyse fant at agenten ikke beholdt eller lagret en brukbar krypteringsnøkkel etter å ha utført operasjonen, noe som gjorde gjenoppretting gjennom løsepengebetaling upålitelig eller umulig .

Løsepengenote

En Bitcoin-løsepengenote ble etterlatt på det kompromitterte systemet, som krevde betaling for datagjenoppretting . Men fordi operasjonen angivelig kastet krypteringsnøkkelen, kunne utpressingskravet ikke tilby en pålitelig vei til gjenoppretting .

Fire bevislinjer for at operasjonen var LLM-drevet

Sysdig identifiserte atferdsindikatorer som pekte på en LLM-drevet operasjon i stedet for en menneskelig operatør :

1. Naturlig språkkommentarer i nyttelaster – De injiserte SQL-spørringene og Python-skriptene inneholdt detaljerte, samtaleaktige kommentarer som forklarte hva koden gjorde i klartekst . Sysdig behandlet denne selv-dokumenterende stilen som konsistent med LLM-generert kode .
2. Feilretting i maskinhastighet – Når en kommando returnerte en feil, prøvde agenten på nytt med en korrigert nyttelast i maskinhastighet – langt raskere enn normalt menneskelig tastaturaktivitet . Loggene viste adaptiv regenerering i stedet for enkel avspilling av et fast skript . I ett tilfelle ble en fungerende rettelse utstedt bare 31 sekunder etter et mislykket påloggingsforsøk .
3. Sanntidstilpasning – Agenten endret dynamisk tilnærming basert på målets respons, inkludert å tilpasse nyttelaster i sanntid for å fortsette inntrengningen og nå databasen . Sysdig karakteriserte denne oppførselen som bevis på autonom agentisk operasjon .
4. Nesten null driftskostnad via stjålne legitimasjon – Agenten utnyttet stjålne legitimasjon, inkludert LLM-leverandør- eller skynøkler, som en del av inntrengningskjeden . Sysdig og relatert dekning beskrev operasjonen som å kreve lite direkte operatørinfrastruktur eller kostnad sammenlignet med en tradisjonell praktisk inntrengning .

Forsvarsanbefalinger fra Sysdig

Følgende tiltak er hentet fra Sysdigs rapport og dekning av funnene deres :

• Oppdater Langflow umiddelbart – Oppgrader til Langflow 1.3.0 eller nyere for å lukke CVE-2025-3248 .
• Begrens /api/v1/validate/code-endepunktet – Hvis oppgradering er forsinket, sett endepunktet bak autentisering eller en WAF-regel for å redusere eksponering for uautentisert utnyttelse .
• Revidér og roter eksponert legitimasjon – Skann etter Langflow-servere, Nacos-instanser og annen eksponert AI/ML-verktøy som kan ha lekket sky-, API- eller databaselegitimasjon .
• Bruk nettverkssegmentering – Isoler AI/ML-servere, konfigurasjonslagre som Nacos og produksjonsdatabaser slik at én kompromittert vert ikke kan bevege seg direkte til en database .
• Aktiver databaseaktivitetsmonitorering (DAM) – Varsle på masse AES_ENCRYPT-kall, uvanlige SQL-setninger fra ikke-menneskelige klienter, eller raske feil-og-prøv-igjen-mønstre .
• Implementer kjøretidsdeteksjon for agentisk atferd – Se etter kombinasjoner av rask feilretting, detaljerte naturlig språkkommentarer i skript og legitimasjonshøsting fra AI/ML-verktøy i rask rekkefølge .
• Ikke stol på løsepenge-dekrypteringsløfter – Fordi en autonom agentisk operasjon kan kaste krypteringsnøkler, gir betaling av løsepenger ingen garanti for gjenoppretting. Uforanderlige sikkerhetskopier og offline øyeblikksbilder forblir kritiske .