JADEPUFFER. Czy AI przeprowadziło pierwszy autonomiczny atak ransomware?

Sztuczna inteligencja coraz śmielej wkracza do świata cyberataków. Początkowo wykorzystywano ją głównie do generowania treści czy automatyzacji kampanii phishingowych. Dziś agenci AI potrafią analizować środowisko ofiary, planować kolejne działania, a nawet podejmować decyzje, jakie jeszcze niedawno należały wyłącznie do człowieka.

Jednym z najgłośniejszych przykładów ostatnich dni jest JADEPUFFER – kampania opisana przez badaczy z Sysdig jako pierwszy udokumentowany autonomiczny atak ransomware wykorzystujący agenta AI. Informacja szybko obiegła branżowe media i w wielu publikacjach została przedstawiona w sposób sugerujący, że cały atak, od rozpoznania środowiska aż po wdrożenie ransomware, został przeprowadzony przez sztuczną inteligencję.

Czy jednak możemy rzeczywiście mówić o całkowicie samodzielnym cyberataku przeprowadzonym przez AI? Analiza opublikowanych materiałów pokazuje, że rzeczywistość jest nieco bardziej złożona, a rola człowieka nadal pozostaje istotnym elementem całego procesu.

JADEPUFFER

Na początku lipca 2026 roku badacze z Sysdig opublikowali analizę kampanii określanej jako pierwszy udokumentowany przypadek wykorzystania sztucznej inteligencji do przeprowadzenia pełnego ataku ransomware. Kampanii nadano nazwę JADEPUFFER. Zdaniem autorów raportu stanowi ona zapowiedź nowego etapu rozwoju cyberataków, w którym sztuczna inteligencja przestaje być jedynie narzędziem wspierającym operatora, a zaczyna samodzielnie realizować kolejne etapy ataku.

Z opublikowanej analizy wynika, że agent uzyskał początkowy dostęp poprzez wykorzystanie podatności CVE-2025-3248 w publicznie dostępnym serwerze Langflow, czyli platformie typu low-code/no-code służącej do budowania i orkiestracji aplikacji opartych na modelach językowych. Ze względu na swoją funkcję integracyjną oraz często szerokie uprawnienia do zasobów takich jak bazy danych czy interfejsy API jego niewłaściwa konfiguracja lub podatności mogą stanowić atrakcyjny punkt wejścia dla atakujących.

Po uzyskaniu dostępu agent rozpoczął rozpoznanie środowiska, przeszukał system pod kątem poufnych informacji, a następnie przeprowadził atak na produkcyjną bazę danych, pozostawiając notatkę z żądaniem okupu.

Kluczową cechą kampanii był adaptacyjny sposób działania. Agent nie realizował jedynie wcześniej przygotowanego scenariusza, lecz analizował rezultaty swoich działań, reagował na błędy i na bieżąco dostosowywał kolejne kroki. Szczegółowy przebieg operacji opisano poniżej.

Przebieg ataku

Udane wykorzystanie podatności CVE-2025-3248 pozwoliło agentowi rozpocząć klasyczny rekonesans środowiska. Pierwszym krokiem było zebranie podstawowych informacji o przejętym systemie.

Id
uname -a
hostname

Polecenia te pozwalają określić uprawnienia procesu, zidentyfikować system operacyjny oraz nazwę przejętego hosta. Był to pierwszy etap rozpoznania środowiska, po którym agent rozpoczął enumerację interfejsów sieciowych, uruchomionych procesów oraz dostępnych usług.

Kolejnym etapem było wyszukiwanie poufnych informacji. Agent przeszukiwał środowisko w poszukiwaniu kluczy API do modeli językowych, poświadczeń do usług chmurowych, danych dostępowych do baz danych, portfeli kryptowalut oraz plików konfiguracyjnych zawierających sekrety aplikacji. Analiza obejmowała między innymi poświadczenia do usług OpenAI, Anthropic, Gemini oraz najpopularniejszych platform chmurowych, takich jak AWS, Azure, Google Cloud czy Alibaba Cloud.

Równocześnie wykonano zrzut wykorzystywanej przez Langflow bazy PostgreSQL. Pozyskane w ten sposób dane obejmowały zapisane poświadczenia, klucze API oraz informacje o użytkownikach platformy. Gdy analiza dobiegła końca, dane zapisane w plikach tymczasowych zostały usunięte, co dodatkowo utrudniało późniejszą analizę działań agenta.

Następnie rozpoczął enumerację usług dostępnych w sieci wewnętrznej. Wśród wykrytych komponentów znalazły się między innymi PostgreSQL, MinIO, magazyny sekretów oraz usługi odpowiedzialne za przechowywanie konfiguracji aplikacji.

Jednym z ciekawszych elementów całej operacji był sposób komunikacji z usługą MinIO. Jest to magazyn obiektów zgodny z API Amazon S3, wykorzystywany do przechowywania danych aplikacji, kopii zapasowych, modeli AI oraz plików infrastruktury. Agent użył domyślnych danych logowania minioadmin:minioadmin, rozpoczął enumerację dostępnych zasobów oraz pobieranie plików, których nazwy sugerowały obecność poufnych informacji, takich jak .env czy credentials.json.

Autorzy raportu zwracają uwagę, że proces miał charakter adaptacyjny. Podczas pierwszej próby agent oczekiwał odpowiedzi w formacie JSON, jednak usługa zwróciła dane w formacie XML zgodnym z API Amazon S3. Zamiast zakończyć działanie, samodzielnie dostosował parser do otrzymanego formatu i ponowił zapytanie.

Kiedy zakończył rozpoznanie, przeszedł do właściwego celu operacji. Z opublikowanego raportu wynika, że był nim publicznie dostępny serwer udostępniający bazę danych MySQL oraz usługę Nacos. Nacos jest platformą wykorzystywaną głównie w architekturach opartych na mikroserwisach i odpowiada za zarządzanie konfiguracją aplikacji oraz mechanizmy service discovery.

Agent stosował równolegle kilka technik przejęcia kontroli nad usługą Nacos, obejmujących znane obejścia mechanizmów uwierzytelniania, generowanie tokenów JWT z wykorzystaniem domyślnego klucza podpisującego oraz utworzenie konta administratora bezpośrednio w bazie danych.

Szczególnie interesujący był moment, w którym pierwsza próba utworzenia konta administratora zakończyła się niepowodzeniem. Około 30 sekund później agent samodzielnie usunął błędnie utworzone konto, wygenerował nowe hasło i ponowił operację, tym razem skutecznie tworząc konto z uprawnieniami administracyjnymi. Autorzy raportu opisują, że cały proces odbył się bez ingerencji operatora i stanowi jeden z najlepszych przykładów adaptacyjnego podejmowania decyzji przez agenta AI.

Rezultatem wszystkich wcześniejszych działań był atak na produkcyjną bazę danych MySQL. Agent wykorzystał funkcję AES_ENCRYPT() do zaszyfrowania danych, usunął oryginalne tabele oraz utworzył nową tabelę, zawierającą notatkę z żądaniem okupu wraz z adresem portfela Bitcoin i danymi do kontaktu.

Choć większość wykorzystanych technik od lat obserwowana jest w kampaniach ransomware, JADEPUFFER wyróżnia sposób ich realizacji. Zdolność reagowania agenta na wyniki własnych działań sprawiła, że kampanię określono mianem pierwszego udokumentowanego przypadku agentic ransomware.

Autonomia AI

W klasycznym scenariuszu to operator interpretuje wyniki poleceń, wybiera kolejne działania i reaguje na problemy. W przypadku JADEPUFFER znaczną część tych zadań przejął agent.

Z opublikowanej analizy wynika, że agent nie wykonywał jedynie wcześniej przygotowanego skryptu. Na każdym etapie analizował rezultaty swoich działań i na podstawie analiz podejmował kolejne decyzje. Przykładem może być komunikacja z usługą MinIO, gdzie po otrzymaniu odpowiedzi w innym formacie niż oczekiwany, samodzielnie dostosował parser i ponowił operację. Podobne zachowanie zaobserwowano podczas próby utworzenia konta administratora w usłudze Nacos. Gdy pierwsza próba zakończyła się niepowodzeniem, agent usunął błędnie utworzone konto, wygenerował nowe hasło i ponownie wykonał operację, tym razem skutecznie.

Na uwagę zasługuje również opinia Geoffa McDonalda, badacza bezpieczeństwa z Microsoft. Na podstawie przykładów przedstawionych w raporcie jego zdaniem zachowanie agenta sugeruje wykorzystanie modelu typu open-weight z usuniętymi mechanizmami bezpieczeństwa, a nie jednego z komercyjnych modeli frontier.

Jeżeli hipoteza ta jest trafna, może wyjaśniać, dlaczego agent bez większych ograniczeń wykonywał działania jednoznacznie kojarzone z cyberatakami. Większość komercyjnych modeli posiada obecnie mechanizmy bezpieczeństwa ograniczające generowanie złośliwego kodu lub instrukcji mogących posłużyć podczas ataków. Modele open-weight mogą zostać uruchomione lokalnie i zmodyfikowane przez usunięcie tych zabezpieczeń, dzięki czemu są znacznie trudniejsze do kontrolowania.

Rola człowieka

Choć raport Sysdig opisuje bardzo wysoki poziom autonomii agenta AI, nie oznacza to, że cały atak został przeprowadzony bez udziału człowieka. Wkrótce po publikacji raportu pojawiły się dodatkowe informacje, które pozwalają lepiej zrozumieć przebieg całej operacji.

W rozmowie z serwisem TechCrunch Michael Clark z Sysdig wyjaśnił, że człowiek odegrał istotną rolę na etapie przygotowania ataku. To operator wybrał cel, przygotował infrastrukturę wykorzystywaną podczas operacji oraz uruchomił agenta, wyznaczając mu zadanie do wykonania.

Co więcej, raport nie określa jednoznacznie, skąd pochodziły poświadczenia wykorzystane do uzyskania dostępu do produkcyjnej bazy danych MySQL. Autorzy analizy wyraźnie wskazują, że nie zaobserwowali momentu ich pozyskania i nie są w stanie określić ich źródła. Dopiero dodatkowe informacje przekazane przez Michaela Clarka sugerują, że dane te zostały zdobyte wcześniej i przekazane agentowi przez operatora.

Nie zmienia to jednak podstawowego wniosku płynącego z raportu. Po otrzymaniu celu i niezbędnych zasobów agent samodzielnie przeprowadził techniczną część operacji, analizując środowisko, podejmując decyzje i reagując na napotkane przeszkody.

W związku z powyższym określenie JADEPUFFER jako pierwszego autonomicznego ataku ransomware wymaga pewnego doprecyzowania. Trafniej byłoby powiedzieć, że jest to pierwszy szeroko opisany przypadek, w którym agent samodzielnie zrealizował techniczną część operacji ransomware po wcześniejszym przygotowaniu środowiska przez człowieka.

Podsumowanie

JADEPUFFER nie pokazuje jeszcze świata, w którym cyberprzestępcy zostali całkowicie zastąpieni przez sztuczną inteligencję. Udowadnia jednak, że współcześni agenci AI potrafią samodzielnie realizować złożone scenariusze ataku, reagować na wyniki swoich działań i dostosowywać kolejne kroki bez ingerencji operatora. Pytaniem nie jest już, czy sztuczna inteligencja będzie wykorzystywana podczas cyberataków. JADEPUFFER dowodzi, że proces ten już się rozpoczął. Znacznie ważniejsze staje się dziś pytanie, jak szybko poziom autonomii takich systemów będzie rósł i jak organizacje powinny przygotować się na tę zmianę.