Seiscentos payloads. Trinta e um segundos para corrigir um ataque fracassado. Um banco de produção destruído.
JADEPUFFER e o primeiro ransomware autônomo executado por IA
A Sysdig capturou um operador movido por LLM que explorou um servidor Langflow real, coletou segredos, avançou até um banco de produção, criptografou 1.342 configurações e criou a própria nota de resgate.
- Conduta criminosa
- Acesso não autorizado, roubo de credenciais, persistência, criptografia destrutiva e extorsão
- Autonomia do agente
- Execução ponta a ponta estimada em mais de 600 payloads adaptativos
- Situação jurídica
- Avaliação técnica da Sysdig. Vítima e operador não foram identificados, e não há acusação criminal pública.
Trinta e um segundos após o login falhar
A nova conta de administrador não funcionou. Doze segundos depois, o atacante testou duas causas em paralelo. Dezenove segundos mais tarde, apagou a conta defeituosa, mudou o método de hash, recriou o acesso e tentou novamente. O login funcionou.
A equipe de pesquisa da Sysdig afirma que nenhum humano digitou esses comandos. A telemetria registrou o que a empresa considera a primeira operação documentada de ransomware conduzida de ponta a ponta por um agente de linguagem. O operador recebeu o nome JADEPUFFER.
Não era um benchmark isolado. Os payloads atingiram uma instância Langflow exposta à internet e um servidor de banco de dados de produção separado. O resultado incluiu registros criptografados, tabelas originais apagadas, schemas destruídos e uma nota de extorsão.
Do servidor de IA exposto até o alvo real
JADEPUFFER entrou pela CVE-2025-3248, falha crítica de autenticação no Langflow que permitia executar Python remotamente. A primeira máquina serviu de ponte. O ambiente de produção com MySQL e Alibaba Nacos era o objetivo real.
Os payloads capturados mostram uma cadeia que observava resultados e escolhia a próxima ação, em vez de repetir um script fixo.
- Enumerou host, processos, interfaces de rede e serviços internos.
- Buscou chaves de provedores de IA, credenciais de nuvem, segredos de bancos e carteiras de criptomoedas.
- Copiou dados do Postgres do Langflow, examinou o material e apagou arquivos temporários.
- Enumerou buckets MinIO e recuperou arquivos de ambiente e credenciais.
- Forjou acesso ao Nacos, criou um administrador persistente e testou caminhos de escape do contêiner.
O ransomware destruiu a própria chave de recuperação
O agente criptografou as 1.342 configurações do Nacos, apagou as tabelas originais e o histórico e criou uma tabela chamada README_RANSOM. Ela trazia endereço de pagamento, contato por Proton Mail e a alegação de que dados de clientes e informações pessoais haviam sido copiados.
A chave era aleatória, foi exibida uma única vez e não foi armazenada nem transmitida na evidência observada. Assim, as configurações ficaram irrecuperáveis mesmo que a vítima pagasse. Dois minutos depois, outro payload reescreveu a nota com o número exato de registros atingidos.
A operação avançou de exclusões pontuais para a remoção de schemas inteiros. O próprio código classificou bancos pelo retorno esperado. A Sysdig não confirmou de forma independente a afirmação de que os dados foram enviados ao servidor indicado.
Por que os pesquisadores atribuíram o teclado a um agente
A Sysdig baseou a avaliação em quatro sinais: código que narrava os próprios objetivos, correções específicas em velocidade de máquina, compreensão de texto livre deixado no ambiente e mais de 600 payloads coerentes em um período comprimido.
As correções não eram simples tentativas repetidas. Quando um serviço devolveu XML em vez de JSON, o payload seguinte passou a interpretar XML. Quando uma exclusão falhou por restrições de chave estrangeira, a ação seguinte desativou a verificação, concluiu a remoção e restaurou a configuração.
Há limites importantes. A Sysdig não viu o prompt de sistema, não identificou o modelo e não sabe como o operador humano o configurou. O endereço Bitcoin também aparece amplamente em documentação, podendo ter sido fornecido pelo operador ou reproduzido pelo modelo.
O que foi comprovado e o que continua sendo avaliação
Os payloads sustentam a invasão, a busca por credenciais, a persistência, a criptografia de 1.342 configurações, a destruição das tabelas originais, a exclusão de bancos e a criação da nota de resgate. São atos materiais associados a acesso indevido, destruição de dados e extorsão.
A conclusão de que um agente LLM dirigiu tudo é uma avaliação técnica da Sysdig, apoiada por análises independentes, mas sem divulgação do modelo ou da infraestrutura de controle. A exfiltração, o pagamento e a identidade do operador não foram provados publicamente. Não há notícia de processo criminal.
O responsável jurídico continua sendo a pessoa ou organização desconhecida por trás da campanha. O fato operacional é novo: depois de acionado, o agente aparentemente diagnosticou falhas, escolheu táticas e completou uma cadeia destrutiva sem instruções humanas passo a passo.