JADEPUFFER, l’IA che ha condotto da sola un attacco ransomware
Sysdig documenta il primo attacco ransomware end-to-end gestito da un agente AI, dall'accesso all'estorsione finale.
JadePuffer è il nome che il team di ricerca di Sysdig ha dato a quello che considera il primo attacco ransomware condotto interamente da un’intelligenza artificiale, dall’accesso iniziale fino all’estorsione, senza che un umano guidasse l’operazione passo per passo.
Come è iniziato l’attacco di JadePuffer
Tutto parte da una vulnerabilità in Langflow, un framework open source molto usato per costruire applicazioni basate su modelli linguistici e workflow agentici. Il bug, tracciato come CVE-2025-3248, è una falla di autenticazione mancante che permette a chiunque, senza bisogno di credenziali, di eseguire codice Python arbitrario sul server. JadePuffer ha sfruttato esattamente questo punto debole per entrare in un’istanza Langflow esposta su internet.
Una volta dentro, l’agente ha iniziato a raccogliere segreti: chiavi API di provider come OpenAI, Anthropic, DeepSeek e Gemini, oltre a credenziali cloud con un occhio di riguardo per i provider cinesi come Alibaba, Aliyun, Tencent e Huawei, senza trascurare AWS, Azure e Google Cloud. Ha poi installato una voce crontab per mantenere la persistenza, contattando l’infrastruttura dell’attaccante ogni 30 minuti.
Il vero obiettivo: un server di produzione
Il server Langflow era solo il punto d’appoggio. Il bersaglio reale era un altro sistema, esposto su internet, che ospitava un database MySQL e un servizio di configurazione Nacos di Alibaba. JadePuffer si è collegato alla porta MySQL usando credenziali root, che Sysdig non è riuscita a ricondurre a un furto avvenuto nell’ambiente della vittima.
Da lì l’agente ha attaccato Nacos su più fronti contemporaneamente: uno sfruttamento noto dal 2021 (CVE-2021-29441), la falsificazione di un token JWT valido usando la chiave di firma di default di Nacos, mai cambiata su moltissimi deployment, e l’inserimento diretto di un amministratore backdoor nel database di supporto.
Quello che ha colpito di più i ricercatori è successo dopo un primo tentativo fallito, causato da un hash bcrypt generato con un percorso di sistema vuoto. In appena 31 secondi JadePuffer ha diagnosticato il problema ed emesso un payload corretto, cancellando l’account rotto e ricreandolo nel modo giusto. Una velocità di correzione che, secondo Sysdig, è tra le prove più forti che dietro non ci fosse un operatore umano al lavoro.
L’estorsione senza possibilità di ritorno
A quel punto è iniziata la fase distruttiva: JadePuffer ha cifrato 1.342 elementi di configurazione di Nacos usando la funzione AES_ENCRYPT di MySQL, ha cancellato le tabelle originali e ha lasciato una nota di riscatto con un indirizzo Bitcoin e un contatto email. Il dettaglio più preoccupante è che la chiave usata per cifrare i dati non risulta mai salvata né inviata a un server controllato dagli attaccanti, il che significa che nemmeno pagando il riscatto le vittime avrebbero potuto recuperare le informazioni.
In totale l’operazione ha prodotto oltre 600 payload distinti. Molti contenevano commenti in linguaggio naturale che spiegavano il ragionamento dell’agente passo per passo, una cosa che un operatore umano scrive raramente nel proprio codice.
Non è una tecnica nuova, ma cambia chi può usarla
Sysdig è chiara su un punto: nessuna delle tecniche usate da JadePuffer era originale o particolarmente sofisticata. Quello che cambia è che un modello linguistico è stato in grado di collegarle tutte insieme, da solo, contro un’infrastruttura trascurata dal punto di vista della sicurezza. Come sottolineano gli stessi ricercatori, la competenza tecnica necessaria per gestire un ransomware si è ridotta al costo di eseguire un agente, e se quell’agente gira su credenziali rubate tramite pratiche come l’LLMjacking, il costo per l’attaccante è praticamente pari a zero.
Non è un fenomeno isolato. Solo di recente gli hacker hanno iniziato ad abbandonare l’AI cloud per installare tutto in locale, proprio per evitare i controlli e i log che i provider cloud possono conservare sulle loro attività.
Nel frattempo, mentre i criminali informatici sperimentano agenti sempre più autonomi, anche i giganti del software spingono forte sull’AI integrata nei sistemi operativi, come dimostrano le immagini trapelate di Copilot OS, il progetto Microsoft che punta a portare l’intelligenza artificiale al centro di Windows. Sono due facce della stessa medaglia raccontate nelle nostre news sull’AI: da una parte l’attacco, dall’altra la corsa a integrarla ovunque.
Le raccomandazioni difensive di Sysdig sono in realtà piuttosto basilari: aggiornare Langflow, non esporre endpoint di esecuzione codice su internet, cambiare le chiavi di default di servizi come Nacos, non far girare agenti AI con chiavi cloud nell’ambiente e bloccare il traffico in uscita non necessario. Il problema, come spesso succede, era già lì da anni. È solo che ora basta un agente per trovarlo e sfruttarlo, senza bisogno di un criminale esperto dietro la tastiera.
La situazione
Quello che mi lascia perplesso di JadePuffer non è tanto l’attacco in sé, quanto la velocità con cui ha corretto l’errore sul login: 31 secondi per diagnosticare, riscrivere e verificare un fix. Un umano ci avrebbe messo di più, e probabilmente si sarebbe distratto. Se un agente può già condurre un attacco completo da solo, la domanda per chi gestisce un server esposto non è più se arriverà un attacco del genere, ma quanti giorni ha ancora prima che succeda anche a lui.
Ti è piaciuto questo articolo?
Seguici per restare aggiornato su tech, smartphone e streaming – senza perderti nulla.
Commento all'articolo