Empresa de segurança Sysdig documenta primeiro ataque de ransomware executado inteiramente por um agente de IA

A empresa de segurança Sysdig afirma ter documentado o primeiro ataque de ransomware realizado do início ao fim por um agente de IA autônomo, sem nenhum operador humano direcionando a intrusão. A equipe de pesquisa de ameaças da Sysdig nomeou a operação como JADEPUFFER e relata que um modelo de linguagem grande lidou de forma independente com todas as etapas do ataque: invadir, coletar credenciais, mover-se mais profundamente na rede alvo e, finalmente, criptografar e destruir o banco de dados de produção de uma empresa.

Um bug antigo e sem patch como ponto de entrada

JADEPUFFER entrou através do CVE-2025-3248, uma vulnerabilidade de falta de autenticação no Langflow, um framework open source usado para construir aplicações de IA e fluxos de trabalho de agentes. A falha permite que qualquer pessoa que alcance um servidor Langflow exposto execute seu próprio código Python nele sem fazer login. Foi corrigida no Langflow 1.3.0 e adicionada ao catálogo de vulnerabilidades exploradas conhecidas da CISA em maio de 2025 — mas muitas instâncias expostas à Internet nunca foram atualizadas, e os servidores Langflow são alvos atraentes precisamente porque tendem a ficar expostos e armazenam chaves de API e credenciais de nuvem para os serviços aos quais se conectam.

Autônomo, adaptável e minucioso

Uma vez dentro, o agente mapeou a máquina comprometida e coletou sistematicamente chaves de API para serviços de IA incluindo OpenAI, Anthropic, DeepSeek e Gemini, junto com credenciais de nuvem para AWS, Google Cloud, Azure e os provedores chineses Alibaba e Tencent, além de chaves de carteiras de criptomoedas e logins de banco de dados. Ele encontrou um servidor de armazenamento MinIO ainda rodando com suas credenciais padrão de fábrica e plantou uma tarefa agendada para manter acesso persistente, pingando seu servidor de comando a cada 30 minutos.

O agente então pivotou para seu alvo real: um servidor de produção separado, exposto à Internet, rodando um banco de dados MySQL e o serviço de configuração Nacos da Alibaba. A Sysdig afirma que não está claro exatamente como o agente obteve as credenciais de root para o banco de dados, mas a partir daí ele explorou um bypass de autenticação de 2021 no Nacos (CVE-2021-29441) usando uma chave de assinatura padrão que o serviço envia inalterada desde 2020, e instalou sua própria conta de administrador backdoor. Notavelmente, o agente demonstrou adaptabilidade em tempo real, corrigindo uma tentativa de login falha em 31 segundos sem orientação humana.

Uma nota de resgate sem como pagá-la

Na fase final, o JADEPUFFER criptografou 1342 entradas de configuração do Nacos, eliminou as tabelas originais do banco de dados e deixou uma nota de resgate exigindo Bitcoin com um endereço de contato do Proton Mail. O agente gerou uma chave de criptografia aleatória, exibiu-a uma vez e nunca a salvou ou transmitiu — o que significa que os dados são irrecuperáveis mesmo que uma vítima pagasse. A Sysdig também não encontrou evidências que apoiassem a afirmação da própria nota de resgate do agente de que os dados foram exfiltrados antes da criptografia; os pesquisadores acreditam que a afirmação foi fabricada pelo próprio modelo.

O que isso significa para os defensores

O ransomware tradicionalmente exigiu um operador humano qualificado em algum ponto da cadeia, seja no teclado ou escrevendo a automação que o malware segue. A descoberta da Sysdig sugere que essa barreira está caindo: se um modelo de linguagem geral pode encadear reconhecimento, roubo de credenciais, movimento lateral e criptografia destrutiva por conta própria, a habilidade necessária para lançar uma operação séria de ransomware cai para o custo de alugar acesso a um agente de IA capaz. A Sysdig está instando as organizações a migrar para a detecção comportamental em tempo de execução, em vez de confiar em assinaturas estáticas, já que um agente adaptável pode contornar indicadores conhecidos de comprometimento de maneiras que o malware baseado em script não consegue.