Seiscientas cargas. Treinta y un segundos para corregir un ataque fallido. Una base de producción destruida.
JADEPUFFER y el primer ransomware autónomo ejecutado por IA
Sysdig capturó un operador impulsado por un LLM que explotó un servidor Langflow real, recogió secretos, llegó a una base de producción, cifró 1.342 configuraciones y creó su propia nota de rescate.
- Conducta delictiva
- Acceso no autorizado, robo de credenciales, persistencia, cifrado destructivo y extorsión
- Autonomía del agente
- Ejecución integral estimada en más de 600 cargas adaptativas
- Situación jurídica
- Evaluación técnica de Sysdig. La víctima y el operador no han sido identificados y no hay acusación penal pública.
Treinta y un segundos después del fallo
La nueva cuenta de administrador no funcionó. Doce segundos después, el atacante probó dos causas en paralelo. Diecinueve segundos más tarde borró la cuenta, cambió el método de hash, reconstruyó el acceso y volvió a intentarlo. El inicio de sesión funcionó.
Sysdig sostiene que ningún humano escribió esas órdenes. Su telemetría registró lo que considera la primera operación documentada de ransomware dirigida de principio a fin por un agente de lenguaje. Lo llamó JADEPUFFER.
No fue un benchmark. Las cargas alcanzaron una instancia Langflow conectada a internet y un servidor de base de datos de producción separado. El resultado incluyó registros cifrados, tablas borradas, esquemas destruidos y una nota de extorsión.
Del servidor expuesto al objetivo real
JADEPUFFER entró mediante CVE-2025-3248, una falla crítica de autenticación en Langflow que permitía ejecutar Python remotamente. La primera máquina fue un puente hacia el entorno MySQL y Alibaba Nacos de producción.
Las cargas observaban cada resultado y elegían la siguiente operación en lugar de reproducir un guion fijo.
- Enumeró el host, los procesos, las interfaces y los servicios internos.
- Buscó claves de IA, credenciales de nube, secretos de bases y carteras de criptomonedas.
- Volcó datos de Postgres, revisó el material y borró los archivos temporales.
- Enumeró depósitos MinIO y recuperó archivos de entorno y credenciales.
- Falsificó acceso a Nacos, creó un administrador persistente y probó escapes del contenedor.
El ransomware destruyó su propia llave
El agente cifró las 1.342 configuraciones de Nacos, eliminó las tablas originales y el historial y creó README_RANSOM con dirección de pago, correo y una afirmación de robo de datos.
La llave aleatoria apareció una sola vez y no se almacenó ni transmitió en la evidencia. Los datos quedaron irrecuperables incluso si la víctima pagaba. Dos minutos después, otra carga reescribió la nota con el conteo exacto.
Después eliminó esquemas completos y clasificó bases por retorno esperado. Sysdig no verificó de forma independiente la supuesta exfiltración.
Por qué Sysdig atribuyó la operación a un agente
La evaluación se apoya en código que narraba objetivos, correcciones específicas a velocidad de máquina, comprensión de texto libre y más de 600 cargas coherentes en poco tiempo.
Cuando recibió XML en vez de JSON, la siguiente carga interpretó XML. Cuando una eliminación falló por claves foráneas, desactivó las comprobaciones, borró la base y restauró la configuración.
Persisten límites: Sysdig no vio el prompt, no identificó el modelo ni conoce la configuración humana. La dirección Bitcoin es un ejemplo común en documentación y pudo ser aportada o reproducida por el modelo.
Hechos probados y conclusiones pendientes
Las cargas respaldan la intrusión, la búsqueda de credenciales, la persistencia, el cifrado de 1.342 registros, la destrucción de tablas y bases y la nota de rescate.
Que un LLM dirigiera toda la operación es la evaluación técnica de Sysdig, apoyada por análisis independientes. La exfiltración, el pago y la identidad del operador no se han probado públicamente. No hay acusación penal pública.
La responsabilidad jurídica corresponde al humano u organización desconocidos. La novedad operativa es que el agente parece haber diagnosticado fallos, elegido tácticas y completado una cadena destructiva sin órdenes humanas paso a paso.