Sysdig ha documentato quello che viene indicato come il primo caso pubblico completo di attacco ransomware eseguito in autonomia da un AI Agent, battezzato JADEPUFFER. L’elemento più rilevante non è l’uso di tecniche inedite, ma la capacità del sistema di concatenare vulnerabilità già note, muoversi nella rete e colpire i dati senza intervento umano.
L’episodio mostra un salto pratico nella sicurezza informatica: l’AI non si limita a generare codice, ma può prendere decisioni operative, correggere errori durante l’attacco e portare avanti un’intera catena offensiva. Per aziende e team IT, il punto chiave è che la barriera tecnica per questo tipo di minacce può abbassarsi in modo sensibile.
JADEPUFFER ha completato da solo l’intera catena del ransomware
Il caso ricostruito da Sysdig descrive un attacco completamente automatizzato: dalla compromissione iniziale alla ricognizione, dal furto di credenziali al movimento laterale fino alla cifratura dei database. JADEPUFFER ha eseguito oltre 600 payload con obiettivi precisi e ha adattato le proprie azioni in base ai risultati ottenuti sul campo.
La compromissione iniziale è partita da un servizio Langflow esposto su Internet. L’AI Agent ha sfruttato la vulnerabilità CVE-2025-3248, già corretta nella versione 1.3. 0 del software ma ancora presente su sistemi non aggiornati, ottenendo esecuzione remota di codice Python senza autenticazione e il controllo dell’host bersaglio.
- Attacco ransomware eseguito senza operazioni manuali lungo tutta la catena.
- Uso di vulnerabilità già note, non di tecniche nuove o zero-day.
- Compromissione iniziale tramite Langflow esposto in rete.
- Esecuzione di oltre 600 payload con logica adattiva durante l’attacco.
Dalla raccolta delle credenziali al controllo dei server di produzione
Una volta entrato nel primo host, JADEPUFFER ha raccolto informazioni sensibili come chiavi API per servizi AI e credenziali di accesso a piattaforme cloud, oltre a cercare account database, file di configurazione, wallet di criptovalute e seed phrase.
Per mantenere la persistenza, l’AI ha creato un’attività pianificata capace di contattare ogni 30 minuti il server di comando e controllo. In seguito ha spostato l’attenzione su un altro server di produzione con MySQL e Nacos, dove ha sfruttato l’accesso Root al database insieme alla vulnerabilità CVE-2021-29441 e a una chiave JWT predefinita non cambiata.
- Raccolta di chiavi API per servizi AI e credenziali cloud.
- Esportazione del database PostgreSQL collegato a Langflow.
- Accesso a MinIO tramite credenziali di default.
- Persistenza ottenuta con connessione periodica ogni 30 minuti al server dell’attaccante.
- Escalation su server di produzione con MySQL e Nacos.
La fase di cifratura mostra limiti pratici ma anche un rischio molto concreto
Nella fase finale JADEPUFFER ha usato la funzione AES_ENCRYPT() di MySQL per cifrare tutte le 1342 voci di configurazione presenti in Nacos. Dopo la cifratura ha eliminato le tabelle originali e la cronologia, quindi ha creato una tabella README_RANSOM con le istruzioni per il pagamento del riscatto, comprensive di wallet Bitcoin e contatto Proton Mail.
C’è però un dettaglio significativo: la chiave di cifratura sarebbe stata mostrata una sola volta a terminale e non salvata né inviata all’attaccante. Questo significa che, anche pagando, il recupero dei dati potrebbe non essere possibile.
- Cifratura di 1342 record di configurazione in Nacos.
- Eliminazione delle tabelle originali e dei dati storici.
- Creazione di una nota di riscatto nel database.
- Chiave di cifratura non conservata in modo utile al ripristino.
Aggiornamenti, credenziali e monitoraggio restano i punti più urgenti
Le indicazioni operative sono piuttosto nette: aggiornare Langflow alla versione corretta, evitare di esporre direttamente su Internet interfacce che consentono esecuzione di codice, rafforzare la configurazione di Nacos e sostituire chiavi JWT predefinite o mai cambiate.
Serve anche una difesa più dinamica, con monitoraggio del comportamento a runtime, limitazione delle comunicazioni in uscita dai server e gestione rigorosa delle credenziali applicative e cloud. Il punto centrale emerso da questo caso è che l’AI può rendere più veloce e accessibile l’orchestrazione di attacchi complessi, quindi le misure di base non bastano più se non vengono applicate con continuità.
- Aggiornare Langflow alle versioni corrette.
- Non esporre direttamente interfacce con capacità di esecuzione codice.
- Cambiare chiavi JWT predefinite e rafforzare Nacos.
- Evitare l’uso di account Root per database esposti.
- Applicare monitoraggio comportamentale e limiti al traffico in uscita.
