JadePuffer: Surge o primeiro ransomware com IA agentiva

A Sysdig documentou o primeiro caso conhecido de ransomware baseado em agente, ao qual deu o nome de JadePuffer. Crédito: Sysdig

A Sysdig revela que um ransomware com IA autônoma foi utilizado em um ataque bem-sucedido, enquanto o diretor sênior de pesquisa de ameaças, Michael Clark, alerta para o que está por vir.

Pesquisadores documentaram o primeiro caso de um modelo de linguagem de grande porte (LLM) executando de forma autônoma uma operação completa de ransomware do início ao fim.

A Equipe de Pesquisa de Ameaças da Sysdig identificou o que descreve como “uma operação completa de extorsão conduzida de ponta a ponta por um modelo de linguagem de grande porte”.

O agente malicioso, que a Sysdig batizou de JadePuffer, demonstra como os sistemas de IA agora podem realizar tarefas técnicas complexas em várias etapas sem intervenção humana.

O agente autônomo obteve acesso ao servidor de banco de dados da vítima e executou tarefas que variaram de reconhecimento à tomada de controle do servidor.

Quando alguma etapa falhava, o sistema se corrigia na velocidade de uma máquina.

Comportamento autônomo com narrativa própria

De acordo com a Sysdig, o JadePuffer demonstrou capacidades de raciocínio por meio do processamento de linguagem natural. O sistema priorizou seus alvos e adaptou sua operação em tempo real, repetindo as etapas que falharam usando parâmetros modificados.

Os pesquisadores documentaram um caso em que o sistema autônomo passou de uma tentativa de login malsucedida para uma solução eficaz em 31 segundos.

A carga útil incluía recursos de auto-narração que explicavam seu processo de raciocínio, oferecendo uma visão de como os LLMs agora podem avaliar situações técnicas e ajustar suas estratégias dinamicamente.

Acesso inicial por meio da infraestrutura de IA

O ponto de entrada foi o CVE-2025-3248, uma falha de autenticação ausente no Langflow.

O Langflow é uma estrutura de código aberto para a construção de LLMs, e essa falha específica permite que invasores executem código Python no host.

De acordo com a Sysdig, as implantações do Langflow costumam estar expostas à internet e representam alvos atraentes para agentes mal-intencionados, já que os servidores geralmente armazenam chaves de API e credenciais de nuvem e, muitas vezes, carecem de controles de rede.

Assim que o agente obteve acesso de execução, ele vasculhou o ambiente, procurando por chaves de API de LLM de provedores como OpenAI, Anthropic, DeepSeek e Gemini, além de credenciais de nuvem, carteiras de criptomoedas, credenciais de bancos de dados e arquivos de configuração.

O nível mínimo de habilidade necessário para executar um ransomware caiu para o custo de executar um agente; e, se esse agente estiver sendo executado com credenciais roubadas por meio do LLMjacking, o custo para um invasor é quase zero.

Michael Clark, diretor sênior de pesquisa de ameaças da Sysdig

O sistema coletou credenciais de nuvem e chaves de API antes de expandir seu acesso.

Ele extraiu dados do banco de dados PostgreSQL da Langflow, recuperando credenciais armazenadas, chaves de API e informações de usuários antes de remover os arquivos temporários que havia criado.

Métodos adaptativos de extração de credenciais

O agente explorou a rede interna, procurando por bancos de dados, sistemas de armazenamento e serviços de gerenciamento de segredos.

Por fim, localizou um servidor de armazenamento de objetos MinIO, onde identificou e recuperou mais credenciais dos arquivos de configuração.

Quando sua primeira tentativa não funcionou, o sistema adaptou automaticamente sua abordagem.

Para manter a persistência, o agente instalou uma tarefa agendada (cron job) no servidor Langflow comprometido. A tarefa entrava em contato com a infraestrutura controlada pelo invasor a cada 30 minutos.

O sistema autônomo então mudou de alvo para um servidor de produção conectado à Internet que executava o MySQL e o Alibaba Nacos.

Usando credenciais de root do MySQL, o agente explorou simultaneamente várias vulnerabilidades conhecidas de autenticação do Nacos. A origem dessas credenciais de root é desconhecida.

Recursos de correção de erros em tempo real

O sistema inseriu uma conta de administrador backdoor no banco de dados da plataforma. Quando sua primeira tentativa de login falhou, ele analisou o erro e modificou sua abordagem.

De acordo com a Sysdig, o agente recuperou o acesso com sucesso, sem intervenção humana, em 31 segundos. Essa sequência confirma a capacidade do LLM de realizar depuração técnica de forma autônoma.

Com o acesso administrativo estabelecido, o sistema passou para a etapa final, criptografando os dados de configuração do Nacos da vítima. Ele substituiu os dados por uma nota de resgate contendo instruções de pagamento.

Michael Clark, diretor sênior de pesquisa de ameaças da Sysdig | Crédito: Sysdig (modificado)

Michael Clark, diretor sênior de pesquisa de ameaças da Sysdig, é o autor da análise do JadePuffer.

“Um agente autônomo avaliou seus alvos, coletou e reutilizou credenciais, moveu-se lateralmente, estabeleceu persistência e destruiu um banco de dados, narrando sua própria intenção durante todo o processo”, afirma ele.

Implicações para sistemas de IA autônomos

Nenhuma das técnicas individuais era nova ou sofisticada, segundo Michael. O que pode ser notável é que um modelo de IA as conectou em uma operação completa contra uma infraestrutura exposta à internet.

“O nível mínimo de habilidade necessário para executar um ransomware caiu para o custo de executar um agente, e se esse agente estiver sendo executado com credenciais roubadas por meio do LLMjacking, o custo para um invasor é quase zero”, observa ele.

Isso pode significar que a barreira de entrada para operações autônomas de IA diminuiu substancialmente.

Michael sugere que o volume e a amplitude dessas campanhas podem aumentar à medida que as ferramentas autônomas amadurecem.

A capacidade do sistema de narrar por conta própria todo o processo pode fornecer insights sobre como os agentes autônomos tomam decisões. Esse recurso de transparência pode ser a pista que ajude os defensores a compreender os padrões de raciocínio e, por fim, impedir ataques de sistemas sofisticados de IA.