JADEPUFFER: Pierwszy ransomware sterowany AI ujawnia luki w cyberbezpieczeństwie

Firma Sysdig, specjalizująca się w bezpieczeństwie chmury, zidentyfikowała JADEPUFFER jako pierwszą operację ransomware, w której model językowy autonomicznie przeprowadził atak. Według raportu zespołu badawczego Sysdig, sztuczna inteligencja samodzielnie włamała się do systemu, skradła dane uwierzytelniające i zniszczyła bazy danych, bez widocznej interwencji człowieka. Badacze określili JADEPUFFER mianem „aktora zagrożeń agentowych”, którego zdolności atakujące pochodzą z modelu AI, a nie od osoby.

Autonomiczny atak AI

Tradycyjnie, operacje ransomware wymagały aktywnego udziału człowieka w planowaniu, wyborze celów oraz tworzeniu lub generowaniu skryptów. W przypadku JADEPUFFER, agent AI przejął te wszystkie role. Początkowe włamanie nastąpiło poprzez znaną lukę CVE-2025-3248 w Langflow, popularnym narzędziu do budowania aplikacji AI. Usterka ta pozwalała atakującym na uruchamianie własnego kodu na serwerze bez hasła. Chociaż Langflow załatał tę lukę już w kwietniu 2025 roku, a amerykańska agencja CISA (Cybersecurity and Infrastructure Security Agency) dodała ją do swojego katalogu aktywnie wykorzystywanych luk, łatka nie została zastosowana w zaatakowanym systemie.

Agent wykorzystał tę lukę, aby przedostać się z początkowego serwera, zebrać dane uwierzytelniające, ustanowić trwały dostęp, a ostatecznie dotrzeć do docelowego serwera produkcyjnego z bazą danych MySQL.

Dowody na autonomię sztucznej inteligencji

Najbardziej przekonującym dowodem na brak ludzkiej interwencji, według Sysdig, był moment, w którym agent próbował utworzyć konto administratora. Po nieudanej próbie logowania, w ciągu 31 sekund wysłał skorygowane polecenie, które zdiagnozowało błąd, usunęło uszkodzone konto i stworzyło nowe, działające. Badacze podkreślają, że człowiek potrzebowałby znacznie więcej czasu na odczytanie komunikatu o błędzie, zrozumienie przyczyny i napisanie nowego skryptu.

Innym wskaźnikiem autonomii AI były komentarze w języku naturalnym zawarte w generowanym przez AI kodzie, wyjaśniające, dlaczego agent chciał najpierw usunąć konkretną bazę danych. Sysdig zauważa, że ludzcy atakujący prawie nigdy nie piszą takich komentarzy, podczas gdy modele AI robią to odruchowo. Ostatecznie agent zaszyfrował 1342 wpisy konfiguracyjne i usunął oryginalne tabele. Żądanie okupu w Bitcoinach zawierało adres Proton Mail, jednak klucz deszyfrujący został wyświetlony tylko raz i nigdy nie został zapisany ani wysłany, co oznacza, że zapłacenie okupu nie odzyskałoby danych. Sam adres Bitcoin okazał się być znanym przykładem z dokumentacji deweloperskiej, prawdopodobnie pobranym bezpośrednio z danych treningowych modelu.

Stare grzechy bezpieczeństwa w nowej odsłonie

Żadna z technik wykorzystanych w ataku nie była nowa. Atak wykorzystał długo znane luki i słabe domyślne hasła. Nowością jest to, że model AI samodzielnie połączył te elementy w kompletną operację wymuszenia. To znacząco obniża barierę wejścia dla ransomware do kosztu uruchomienia agenta AI. Należy jednak zaznaczyć, że do tej pory nie ma niezależnego potwierdzenia ze strony ofiary, organów ścigania ani innych firm ochroniarskich. Sysdig, jako firma sprzedająca produkty do wykrywania tego typu zautomatyzowanych ataków, ma również interes w nagłaśnianiu takich przypadków.

Shane Barney, dyrektor ds. bezpieczeństwa informacji w Keeper Security, ocenił sytuację trzeźwo, stwierdzając, że JADEPUFFER należy traktować mniej jako science fiction, a bardziej jako porażkę w zarządzaniu danymi uwierzytelniającymi działającą z prędkością maszynową. Decydującym czynnikiem nie były nowatorskie techniki ataku, lecz ujawnione sekrety, niezmienione domyślne hasła, szeroko otwarty dostęp uprzywilejowany i brak monitorowania sesji w czasie rzeczywistym.

Badanie Keeper Security wykazało, że 72 procent organizacji nie jest w stanie wykryć niewłaściwego użycia danych uwierzytelniających w czasie rzeczywistym i często nie zauważa nieautoryzowanego dostępu uprzywilejowanego przez wiele godzin. Ta luka staje się niebezpieczna, gdy agent AI może przejść od nieudanego logowania do działającego konta administratora w mniej niż minutę. Barney podkreśla, że dostęp uprzywilejowany powinien być ograniczony czasowo i zakresowo do indywidualnych zadań. Tajne dane powinny być przechowywane w chronionych skarbcach z regularną rotacją, a sesje powinny być monitorowane w czasie rzeczywistym, a nie po dokonaniu szkód.

Incydent z JADEPUFFER wyraźnie pokazuje, że choć technologia AI otwiera nowe możliwości, to jednocześnie uwypukla fundamentalne niedociągnięcia w podstawowych praktykach cyberbezpieczeństwa. Firmy muszą zrewidować swoje strategie ochrony danych, aby sprostać wyzwaniom, jakie niosą ze sobą autonomiczne zagrożenia, gdzie prędkość ataku przekracza ludzkie zdolności reakcji.

Źródło: the-decoder.com