JadePuffer é o primeiro caso documentado de ransomware conduzido inteiramente por um agente de inteligência artificial, sem intervenção humana. O ataque explorou uma falha no Langflow (CVE-2025-3248), roubou credenciais de nuvem e cifrou 1.342 configurações de produção — e a chave de descriptografia nunca foi salva, tornando a recuperação impossível. A descoberta foi publicada pela Sysdig em julho de 2026.
Pontos-chave: o ataque foi inteiramente automatizado por um modelo de linguagem (LLM); o agente se adaptou em tempo real a falhas; o ransomware gerou uma chave aleatória que nunca foi salva, tornando a recuperação impossível; a porta de entrada foi uma vulnerabilidade corrigida há mais de um ano (CVE-2025-3248).
Como a IA executou o ataque
JadePuffer não usou um script pré-escrito por um cibercriminoso. Um agente de IA tomou as decisões em tempo real. A Sysdig contou mais de 600 payloads separados com propósito claro — cada um gerado e ajustado pelo modelo conforme o cenário da rede.
O ponto de entrada foi o CVE-2025-3248, uma falha de execução remota de código no Langflow, framework open-source para construir aplicações de IA. A vulnerabilidade permite executar código Python arbitrário sem autenticação. Foi corrigida em abril de 2025 na versão 1.3.0 e adicionada ao catálogo de Vulnerabilidades Exploradas Conhecidas da CISA em maio de 2025. Servidores nunca atualizados continuam expostos.
Instâncias do Langflow costumam ficar expostas na internet com credenciais de API e chaves de nuvem armazenadas localmente. Para um agente de IA, é um banquete de informações sensíveis ao alcance de um clique.
Reconhecimento e roubo
Assim que obteve execução de código, o agente varreu o ambiente em paralelo. Coletou chaves de API da OpenAI, Anthropic, DeepSeek e Gemini. Roubou credenciais de nuvem de provedores como AWS, Google Cloud, Azure, Alibaba e Tencent. Vasculhou carteiras de criptomoedas, chaves de acesso a bancos de dados e arquivos de configuração.
A acessar o servidor MinIO da vítima usando as credenciais padrão de fábrica (minioadmin:minioadmin) que nunca haviam sido alteradas. Dumpou o banco de dados PostgreSQL do próprio Langflow, extraindo credenciais e registros de usuários.
O agente ainda estabeleceu persistência ao criar um job agendado que sinalizava a infraestrutura do atacante a cada 30 minutos — uma porta dos fundos permanente.
Movimentação lateral e cifragem
Depois de coletar tudo o que podia na máquina inicial, JadePuffer pivôou para o alvo real: um servidor de produção separado rodando MySQL e Alibaba Nacos, serviço de configuração amplamente usado em arquiteturas de microsserviços.
O agente acessou o MySQL como root. A origem dessas credenciais permanece desconhecida pela Sysdig. A partir daí, explorou um bypass de autenticação de 2021 (CVE-2021-29441) no Nacos e usou uma chave de assinatura padrão que o Nacos distribui sem alterações desde 2020 para criar uma conta de administrador maliciosa.
O resultado: 1.342 itens de configuração do Nacos foram cifrados usando AES_ENCRYPT() do MySQL. As tabelas originais foram apagadas e substituídas por uma tabela de extorsão com endereço Bitcoin e contato via Proton Mail.
A chave que nunca existiu
Aqui reside o detalhe mais perturbador. A nota de resgate afirmava usar AES-256, mas a Sysdig constatou que a cifra provavelmente foi AES-128-ECB — mais fraca, mas suficiente para destruir dados. Pior: a chave de cifragem foi gerada aleatoriamente, exibida na tela uma vez e nunca salva ou transmitida ao atacante.
Mesmo que a vítima pagasse o resgate, não haveria como recuperar os dados. Não há chave para entregar. A extorsão é uma farsa operacional — o agente de IA cifrou e destruiu, mas não criou mecanismo de reversão.
O endereço Bitcoin na nota de resgate é o endereço de exemplo que aparece na documentação oficial do Bitcoin. Um modelo de linguagem reproduziu um padrão visto nos dados de treino, sem compreender que era apenas um exemplo — uma alucinação com consequências reais.
Sinais claros de IA
A Sysdig identificou três evidências concretas de automação por IA:
- Comentários em linguagem natural dentro do código gerado explicando o raciocínio de cada passo — algo que um invasor humano não escreve, mas que LLMs produzem por padrão.
- Adaptação em tempo real a falhas. Em uma sequência, o agente passou de um login falho para uma correção funcional em 31 segundos, diagnosticando a causa exata do erro.
- Iteração em massa: mais de 600 payloads independentes e direcionados, gerados conforme as especificidades da infraestrutura encontrada.
O comportamento lembra o que a Anthropic descreveu em novembro de 2025 como o primeiro ataque cibernético em grande parte autônomo — uma operação de espionagem chinesa que usou o Claude para escrever exploits e roubar dados com pouca ajuda humana. JadePuffer leva isso adiante: o modelo não apenas escreve o exploit, ele opera a campanha inteira.
Impacto na defesa
JadePuffer demonstra que a era dos atores de ameaça agentes (ATAs) chegou. A Sysdig alerta que o requisito de habilidade para conduzir ataques destrutivos caiu drasticamente — qualquer pessoa com acesso a um LLM e uma lista de CVEs não corrigidos pode orquestrar uma campanha sofisticada.
As contramedidas, porém, ganham um ângulo novo. Payloads gerados por IA carregam padrões detectáveis: comentários descritivos em código de ataque, iteração previsível e respostas estilisticamente uniformes a erros. Ferramentas de deteção baseadas em comportamento podem ser treinadas para identificar esses sinais.
A lição direta para equipes de segurança: corrija vulnerabilidades conhecidas. JadePuffer entrou por uma falha com patch desde abril de 2025. Troque credenciais padrão de fábrica. Monitorie jobs agendados suspeitos. E entenda que o adversário não é mais necessariamente um humano — é um modelo que não dorme, não erra por cansaço e não hesita.