JadePuffer: Die erste agentenbasierte KI-Ransomware taucht auf

Sysdig hat den ersten bekannten Fall von agentenbasierter Ransomware dokumentiert, die das Unternehmen „JadePuffer“ getauft hat. Quelle: Sysdig

Sysdig gibt bekannt, dass agentische KI-Ransomware bei einem erfolgreichen Angriff eingesetzt wurde, während Michael Clark, Senior Director of Threat Research, vor den zu erwartenden Entwicklungen warnt.

Forscher haben den ersten Fall dokumentiert, in dem ein großes Sprachmodell (LLM) eine gesamte Ransomware-Operation von Anfang bis Ende autonom durchgeführt hat.

Das Sysdig Threat Research Team hat etwas identifiziert, das es als „eine vollständige Erpressungsaktion, die durch ein großes Sprachmodell von Anfang bis Ende gesteuert wird“ beschreibt.

Der Angreifer, den Sysdig „JadePuffer“ getauft hat, zeigt, wie KI-Systeme mittlerweile komplexe, mehrstufige technische Aufgaben ohne menschliches Eingreifen ausführen können.

Der autonome Agent verschaffte sich Zugriff auf den Datenbankserver eines Opfers und führte Aufgaben aus, die von der Erkundung bis zur Übernahme des Servers reichten.

Wenn Schritte fehlschlugen, korrigierte sich das System in Maschinengeschwindigkeit selbst.

Selbstbeschreibendes autonomes Verhalten

Laut Sysdig demonstrierte JadePuffer durch natürliche Sprachverarbeitung die Fähigkeit zum logischen Schlussfolgern. Das System priorisierte seine Ziele und passte seinen Ablauf in Echtzeit an, wobei es fehlgeschlagene Schritte mit modifizierten Parametern erneut versuchte.

Die Forscher dokumentierten einen Fall, in dem das autonome System innerhalb von 31 Sekunden von einem fehlgeschlagenen Anmeldeversuch zu einer funktionierenden Lösung gelangte.

Die Payload enthielt Funktionen zur Selbstkommentierung, die den Denkprozess erklärten und einen Einblick darin gaben, wie LLMs mittlerweile technische Situationen einschätzen und ihre Strategien dynamisch anpassen können.

Erster Zugriff über KI-Infrastruktur

Der Einstiegspunkt war CVE-2025-3248, eine Schwachstelle in Langflow, die auf eine fehlende Authentifizierung zurückzuführen ist.

Langflow ist ein Open-Source-Framework zur Erstellung von LLMs, und diese spezielle Schwachstelle ermöglicht es Angreifern, Python-Code auf dem Host auszuführen.

Laut Sysdig sind Langflow-Bereitstellungen oft mit dem Internet verbunden und stellen attraktive Ziele für Angreifer dar, da die Server in der Regel API-Schlüssel und Cloud-Anmeldedaten enthalten und häufig keine Netzwerkschutzmaßnahmen aufweisen.

Sobald der Agent Ausführungszugriff erlangt hatte, durchsuchte er die Umgebung nach LLM-API-Schlüsseln von Anbietern wie OpenAI, Anthropic, DeepSeek und Gemini sowie nach Cloud-Anmeldedaten, Kryptowährungs-Wallets, Datenbank-Anmeldedaten und Konfigurationsdateien.

Die Mindestanforderungen für den Einsatz von Ransomware sind auf die Kosten gesunken, die für den Betrieb eines Agenten anfallen – und wenn dieser Agent mit gestohlenen Anmeldedaten durch LLMjacking läuft, liegen die Kosten für einen Angreifer nahe Null.

Michael Clark, Senior Director of Threat Research bei Sysdig

Das System sammelte Cloud-Anmeldedaten und API-Schlüssel, bevor es seinen Zugriff ausweitete.

Es extrahierte Daten aus der PostgreSQL-Datenbank von Langflow, stellte gespeicherte Anmeldedaten, API-Schlüssel und Benutzerinformationen wieder her und löschte anschließend die von ihm erstellten temporären Dateien.

Adaptive Methoden zur Extraktion von Anmeldedaten

Der Agent durchsuchte das interne Netzwerk nach Datenbanken, Speichersystemen und Diensten zur Verwaltung vertraulicher Daten.

Schließlich lokalisierte er einen MinIO-Objektspeicherserver, auf dem er weitere Anmeldedaten aus Konfigurationsdateien identifizierte und abrief.

Als sein erster Versuch fehlschlug, passte das System seine Vorgehensweise automatisch an.

Um seine Persistenz aufrechtzuerhalten, installierte der Agent eine geplante Aufgabe (Cron-Job) auf dem kompromittierten Langflow-Server. Die Aufgabe stellte alle 30 Minuten eine Verbindung zur vom Angreifer kontrollierten Infrastruktur her.

Das autonome System wechselte dann zu einem mit dem Internet verbundenen Produktionsserver, auf dem MySQL und Alibaba Nacos liefen.

Mithilfe der MySQL-Root-Anmeldedaten nutzte der Agent gleichzeitig mehrere bekannte Schwachstellen in der Nacos-Authentifizierung aus. Die Herkunft dieser Root-Anmeldedaten ist unbekannt.

Fähigkeiten zur Fehlerkorrektur in Echtzeit

Das System fügte ein Administrator-Backdoor-Konto in die Datenbank der Plattform ein. Als der erste Anmeldeversuch fehlschlug, analysierte es den Fehler und passte seine Vorgehensweise an.

Laut Sysdig gelang es dem Agenten, innerhalb von 31 Sekunden ohne menschliches Eingreifen erneut Zugriff zu erlangen. Diese Abfolge bestätigt die Fähigkeit des LLM, technisches Debugging autonom durchzuführen.

Nachdem der Administratorzugriff hergestellt war, ging das System zur letzten Phase über und verschlüsselte die Nacos-Konfigurationsdaten des Opfers. Es ersetzte die Daten durch eine Lösegeldforderung mit Zahlungsanweisungen.

Michael Clark, Senior Director of Threat Research bei Sysdig | Bildnachweis: Sysdig (bearbeitet)

Michael Clark, Senior Director of Threat Research bei Sysdig, verfasste die Analyse zu JadePuffer.

„Ein autonomer Agent analysierte seine Ziele, sammelte und verwendete Anmeldedaten erneut, bewegte sich lateral, etablierte Persistenz und zerstörte eine Datenbank, wobei er seine Absichten während des gesamten Vorgangs darlegte“, sagt er.

Auswirkungen auf autonome KI-Systeme

Laut Michael war keine der einzelnen Techniken neu oder besonders ausgefeilt. Bemerkenswert könnte jedoch sein, dass ein KI-Modell diese zu einer vollständigen Operation gegen mit dem Internet verbundene Infrastruktur verknüpft hat.

„Die Mindestanforderungen für den Einsatz von Ransomware sind auf die Kosten gesunken, die für den Betrieb eines Agenten anfallen – und wenn dieser Agent mit gestohlenen Zugangsdaten durch LLMjacking läuft, liegen die Kosten für einen Angreifer nahe Null“, merkt er an.

Dies könnte bedeuten, dass die Eintrittsbarriere für autonome KI-Operationen erheblich gesunken ist.

Michael geht davon aus, dass Umfang und Reichweite solcher Kampagnen zunehmen könnten, sobald autonome Tools ausgereifter werden.

Die Fähigkeit des Systems, den gesamten Prozess selbst zu dokumentieren, könnte Einblicke darin geben, wie autonome Agenten Entscheidungen treffen. Diese Transparenz könnte der Schlüssel sein, der es Verteidigern ermöglicht, die Denkweisen zu verstehen und letztendlich Angriffe durch ausgefeilte KI-Systeme zu stoppen.