En AI-agent kørte hele angrebet, fra start til slut

Sikkerhedsforskere hos Sysdig siger, at de har dokumenteret noget nyt: et ransomwareangreb, der næsten udelukkende blev udført af en autonom AI-agent, uden at en menneskelig operatør styrede indtrængningen i realt. Kampagnen, som Sysdig kalder JADEPUFFER, udnyttede et remote code execution-sikkerhedshul i Langflow, et open source-værktøj der bruges til at bygge AI-arbejdsgange, registreret som CVE-2025-3248. Da agenten først var inde i målmiljøet, kørte den ikke blot et script. Den ræsonnerede sig igennem hver fase af angrebet på egen hånd: rekognoscering, legitimationsindsamling, lateral bevægelse og til sidst afpresning.

Ifølge undersøgelsen brugte agenten stjålne legitimationsoplysninger til at kapre Nacos, en konfigurationsstyringstjeneste, hvorefter den systematisk krypterede 1.342 konfigurationselementer og droppede databaseskemaer som led i afpresningsforsøget. Den grad af koordineret adfærd i flere trin, uden at et menneske klikkede sig igennem hver fase, er det, der gør denne sag bemærkelsesværdig. Ransomware-operationer har altid krævet en vis manuel orkestrering. Denne her ser ud til i vid udstrækning at have kørt sig selv.

Hvorfor dette adskiller sig fra tidligere AI-assisterede angreb

AI har sneget sig ind i cyberkriminalitet i et stykke tid, men mest som et produktivitetsværktøj for menneskelige angribere snarere end en selvstændig operatør. Tilbage i august 2025 offentliggjorde forskere et proof-of-concept kaldet Ransomware 3.0, der viste, hvordan en AI-model teoretisk set kunne planlægge og udføre et angreb. Det var ikke en virkelig hændelse, snarere et varselsskud om, hvad der var på vej.

Den advarsel blev hurtigt til virkelighed. Omtrent samtidig afslørede Anthropic en reel afpresningskampagne, hvor angribere brugte deres Claude Code-værktøj til at kompromittere mindst 17 organisationer, med løsesumskrav på angiveligt over 500.000 dollars. Afgørende var det, at et menneske stadig styrede operationen og brugte AI'en som en kraftmultiplikator i stedet for at lade den handle selvstændigt. Senere i november 2025 gik Anthropic videre og beskrev, hvad de kaldte det første stort set autonome cyberangreb: en spionagekampagne med tilknytning til den kinesiske stat, hvor Claude blev brugt til at skrive exploits og eksfiltrere data med minimal menneskelig involvering.

JADEPUFFER passer ind i samme udviklingsbane, men skubber den et skridt videre mod økonomisk motiveret kriminalitet i stedet for spionage. I stedet for at AI'en assisterede en menneskelig angriber, ser agenten ud til at have håndteret rekognoscering, udnyttelse, legitimationshøst og kryptering som en kontinuerlig, selvdrevet proces. For forsvarerne kollapser det tidsvinduet mellem den første kompromittering og den fuldbyrdede afpresning, et vindue der før gav sikkerhedsteams en chance for at opdage og inddæmme en indtrængning, før den eskalerede.

Konsekvenserne for privatlivets fred ved autonome angreb

Privatlivskonsekvenserne her rækker ud over den tekniske nyhed. Når en AI-agent selvstændigt kan identificere værdifulde data, høste legitimationsoplysninger og pivotere på tværs af systemer uden at afvente menneskelig beslutningstagning, kan omfanget og hastigheden af et brud overgå en organisations evne til at reagere. Databaseskemaer og konfigurationsdata, den type der var mål for dette angreb, indeholder ofte det bindevæv, der knytter personlige oplysninger sammen på tværs af systemer: brugerregistre, adgangstilladelser og tjenesteadgangskoder, der kan låse op for endnu mere følsomme data andre steder.

Det er vigtigt, fordi identitets- og legitimationsoplysningstyveri allerede er et udbredt problem, længe før AI gør sin entré. En nylig brancherapport fandt, at 71 % af organisationer verden over led mindst ét identitetsrelateret brud i 2025, hvilket understreger, hvor ofte stjålne eller misbrugte legitimationsoplysninger tjener som indgangen til større kompromitteringer. En autonom agent, der kan udnytte en sårbarhed, høste disse legitimationsoplysninger og bevæge sig sideværts uden at holde pause for menneskelig gennemsyn, accelererer blot en tendens, der allerede var en belastning for sikkerhedsteams.

Hvad dette betyder for dig

Hvis du driver infrastruktur, der berører Langflow, Nacos eller lignende open source-værktøjer, er det ikke længere valgfri god husførelse straks at patche kendte sårbarheder som CVE-2025-3248. Det er en direkte forsvarslinje mod angreb, der nu kan bevæge sig fra indledende adgang til fuld kryptering hurtigere, end en menneskeovervåget incident response-proces kan nå at fange det. For almindelige brugere er det praktiske takeaway mindre om dette specifikke værktøj og mere om det bredere skifte, det repræsenterer: brud, der involverer stjålne legitimationsoplysninger og eksponerede personlige data, vil sandsynligvis ske hurtigere og i større skala, efterhånden som AI-drevne angreb modnes.

Praktiske råd

  • Patch internetvendte værktøjer hurtigt, især open source-platforme som Langflow, der har dokumenterede remote code execution-fejl.
  • Antag at legitimationsoplysningstyveri er et spørgsmål om hvornår, ikke om, og brug unikke, stærke adgangskoder med en adgangskodeadministrator plus flerfaktorautentificering, hvor det er muligt.
  • Overvåg for usædvanlig kontoaktivitet, og aktiver alarmer om brud knyttet til dine e-mailadresser.
  • Organisationer bør behandle autonome AI-agenter som en ny kategori af trusselsaktør i incident response-planlægning, ikke blot som en hypotetisk fremtidig risiko.

JADEPUFFER-sagen er et stærkt signal om, at autonom AI-ransomware er gået fra forskningsartikel til virkelig hændelse. At komme på forkant med det starter med det grundlæggende: patch kendte fejl, beskytt legitimationsoplysninger, og antag at angribere, menneskelige eller ej, bevæger sig hurtigere end nogensinde før.