JADEPUFFER е първата документирана рансъмуер операция, управлявана изцяло от AI (изкуствен интелект) агент. Агентът е успял да пробие защитата, да открадне идентификационни данни, да се прехвърли към втора цел, да криптира производствена база данни и да унищожи информация. Това представлява агентна заплаха (agentic threat actor) — атакуващ, чиято сила произлиза от AI агент, а не от набор от инструменти, управлявани от човек.

Изследователите документираха нещо, което променя представата за това как може да изглежда една рансъмуер атака. Рансъмуерът винаги е изисквал намесата на човек в процеса — някой, който да избере целта, да тества откраднатите пароли и да коригира кода, когато се счупи. Този път голям езиков модел (LLM) свърши всичко това сам.

Техническата страна е интересна и е по-проста, отколкото звучи. Всичко започва с инструмент, наречен Langflow. Langflow е софтуер с отворен код, който позволява изграждането на AI работни процеси чрез визуално свързване на компоненти. Този сървър е бил достъпен в публичното интернет пространство и е имал сериозна уязвимост.

Уязвимостта се проследява като CVE-2025-3248. Тя позволява на всеки да изпрати код към сървъра и да го изпълни без нужда от входни данни (login). Оценката ѝ за опасност е 9.8 от 10. Тя беше включена в списъка на правителството на САЩ за активно експлоатирани уязвимости през май 2025 г., въпреки че корекцията за нея е налична от повече от година.

Защо се атакува Langflow сървър? Тъй като той стои в непосредствена близост до AI инфраструктурата на компанията, което означава, че обикновено съдържа най-чувствителните данни за достъп — API ключове, облачни пароли, достъпи до бази данни, често с много слаба защита.

Веднъж влязъл, агентът започва да търси ценна информация: API ключове за AI услуги като OpenAI и Anthropic, облачни пароли, достъпи до бази данни и дори тайни фрази за криптовалутни портфейли. Той изпразва базата данни на Langflow и компрометира файловото хранилище, което все още е използвало фабричните системни пароли по подразбиране (minioadmin/minioadmin). Агентът изтегля файлове с имена като credentials.json и .env.

За да си осигури постоянен достъп, той създава планирана задача (scheduled task), която на всеки 30 минути се свързва със сървъра на атакуващия. Оттам агентът се насочва към основната си цел — втора машина, работеща с MySQL база данни и системата Nacos. Той влиза в базата като root потребител с пълни права.

Агентът пробива по три начина едновременно. Използва стара уязвимост (CVE-2021-29441) за заобикаляне на оторизацията чрез подправяне на HTTP хедър. Също така генерира собствен пропуск за достъп, подписвайки го с публично известен от 2020 г. таен ключ, който много администратори не са променили. Накрая вкарва скрит администраторски акаунт директно в базата данни.

Бързината на реакция разкрива изкуствения интелект. Агентът се опитва да създаде Nacos администраторски акаунт. Вижда, че опитът е неуспешен, и само 31 секунди по-късно изпраща коригирана версия на заявката. За човек този процес на откриване на грешката и пренаписване на кода отнема много повече време. По време на пробива агентът изпраща над 600 отделни заявки за кратък прозорец от време.

Други две доказателства сочат към AI: първо, в командите на агента има подробни текстови обяснения (коментари) защо извършва всяка стъпка — поведение, типично за езиковите модели. Второ, посоченият Биткойн адрес за откуп е 3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy — същият адрес, който се използва като пример в официалната документация за разработчици на Bitcoin, с която моделът вероятно е бил обучен.