JadePuffer : apparition du premier ransomware basé sur une IA agentique

Sysdig a recensé le premier cas connu de ransomware de type « agentic », qu’elle a baptisé JadePuffer. Crédit : Sysdig

Sysdig révèle qu'un ransomware basé sur une IA « agentique » a été utilisé lors d'une attaque couronnée de succès, tandis que Michael Clark, directeur principal de la recherche sur les menaces, met en garde contre ce qui nous attend.

Les chercheurs ont documenté le premier cas où un grand modèle linguistique (LLM) a exécuté de manière autonome une opération de rançongiciel dans son intégralité, du début à la fin.

L'équipe de recherche sur les menaces de Sysdig a identifié ce qu'elle décrit comme « une opération d'extorsion complète menée de bout en bout par un grand modèle linguistique ».

L’acteur malveillant, que Sysdig a baptisé JadePuffer, démontre comment les systèmes d’IA sont désormais capables d’effectuer des tâches techniques complexes en plusieurs étapes sans intervention humaine.

Cet agent autonome a accédé au serveur de base de données d’une victime et a exécuté des tâches allant de la reconnaissance à la prise de contrôle du serveur.

Lorsque certaines étapes échouaient, le système se corrigeait de lui-même à la vitesse de la machine.

Un comportement autonome « auto-narratif »

Selon Sysdig, JadePuffer a démontré des capacités de raisonnement grâce au traitement du langage naturel. Le système a hiérarchisé ses cibles et adapté son fonctionnement en temps réel, en réessayant les étapes ayant échoué à l’aide de paramètres modifiés.

Les chercheurs ont documenté un cas où le système autonome est passé d’une tentative de connexion infructueuse à une solution fonctionnelle en 31 secondes.

La charge utile comprenait des fonctionnalités d’auto-narration qui expliquaient son processus de raisonnement, offrant ainsi un aperçu de la manière dont les modèles de langage de grande envergure (LLM) sont désormais capables d’évaluer des situations techniques et d’ajuster leurs stratégies de manière dynamique.

Accès initial via une infrastructure d’IA

Le point d’entrée était la vulnérabilité CVE-2025-3248, une faille d’authentification manquante dans Langflow.

Langflow est un framework open source de développement de LLM, et cette faille particulière permet aux attaquants d’exécuter du code Python sur l’hôte.

Selon Sysdig, les déploiements Langflow sont souvent exposés à Internet et constituent des cibles attrayantes pour les acteurs malveillants, car les serveurs contiennent généralement des clés API et des identifiants de cloud, et manquent souvent de contrôles réseau.

Une fois que l’agent a obtenu un accès d’exécution, il a balayé l’environnement, recherchant des clés API de LLM provenant de fournisseurs tels qu’OpenAI, Anthropic, DeepSeek et Gemini, ainsi que des identifiants de cloud, des portefeuilles de cryptomonnaies, des identifiants de bases de données et des fichiers de configuration.

Le seuil de compétence requis pour lancer un rançongiciel est désormais réduit au coût d’exécution d’un agent ; et si cet agent fonctionne avec des identifiants volés via le « LLMjacking », le coût pour un attaquant est quasi nul.

Michael Clark, directeur principal de la recherche sur les menaces chez Sysdig

Le système a collecté des identifiants de connexion au cloud et des clés API avant d’étendre ses droits d’accès.

Il a extrait des données de la base de données PostgreSQL de Langflow, récupérant les identifiants stockés, les clés API et les informations utilisateur avant de supprimer les fichiers temporaires qu’il avait créés.

Méthodes adaptatives d’extraction des identifiants

L’agent a exploré le réseau interne, à la recherche de bases de données, de systèmes de stockage et de services de gestion des secrets.

Il a finalement localisé un serveur de stockage d’objets MinIO où il a identifié et récupéré davantage d’identifiants à partir des fichiers de configuration.

Lorsque sa première tentative a échoué, le système a automatiquement adapté son approche.

Pour assurer sa persistance, l’agent a installé une tâche planifiée (cron job) sur le serveur Langflow compromis. Cette tâche contactait l’infrastructure contrôlée par l’attaquant toutes les 30 minutes.

Le système autonome s’est ensuite tourné vers un serveur de production connecté à Internet et exécutant MySQL et Alibaba Nacos.

À l’aide des identifiants root de MySQL, l’agent a simultanément exploité plusieurs failles d’authentification connues de Nacos. L’origine de ces identifiants root reste inconnue.

Capacités de correction d’erreurs en temps réel

Le système a inséré un compte administrateur de type « porte dérobée » dans la base de données de la plateforme. Lorsque sa première tentative de connexion a échoué, il a analysé l’erreur et modifié son approche.

Selon Sysdig, l’agent a réussi à récupérer l’accès sans intervention humaine en 31 secondes. Cette séquence confirme la capacité du LLM à effectuer un débogage technique de manière autonome.

Une fois l’accès administratif établi, le système est passé à l’étape finale en chiffrant les données de configuration Nacos de la victime. Il a remplacé ces données par une demande de rançon contenant des instructions de paiement.

Michael Clark, directeur principal de la recherche sur les menaces chez Sysdig | Crédit : Sysdig (modifié)

Michael Clark, directeur principal de la recherche sur les menaces chez Sysdig, est l’auteur de l’analyse de JadePuffer.

« Un agent autonome a analysé ses cibles, collecté et réutilisé des identifiants, effectué des déplacements latéraux, établi une persistance et détruit une base de données, tout en exposant son intention tout au long du processus », explique-t-il.

Implications pour les systèmes d’IA autonomes

Selon Michael, aucune de ces techniques prises isolément n’était nouvelle ou sophistiquée. Ce qui pourrait être remarquable, c’est qu’un modèle d’IA les a reliées pour former une opération complète contre une infrastructure connectée à Internet.

« Le seuil de compétence requis pour lancer un rançongiciel est désormais réduit au coût d’exécution d’un agent, et si cet agent fonctionne avec des identifiants volés via le LLMjacking, le coût pour un attaquant est proche de zéro », note-t-il.

Cela pourrait signifier que la barrière à l’entrée pour les opérations d’IA autonomes a considérablement diminué.

Michael suggère que le volume et l’ampleur de ces campagnes pourraient augmenter à mesure que les outils autonomes gagnent en maturité.

La capacité du système à se documenter tout au long du processus pourrait fournir des indications sur la manière dont les agents autonomes prennent leurs décisions. Cette fonctionnalité de transparence pourrait constituer l’indice permettant aux défenseurs de comprendre les schémas de raisonnement et, à terme, de mettre fin aux attaques menées par des systèmes d’IA sophistiqués.