Agent AI przeprowadził cały atak od początku do końca

Badacze bezpieczeństwa z Sysdig twierdzą, że udokumentowali coś nowego: atak ransomware przeprowadzony niemal całkowicie przez autonomicznego agenta AI, bez udziału operatora kierującego włamaniem w czasie rzeczywistym. Kampania, którą Sysdig nazywa JADEPUFFER, wykorzystała lukę umożliwiającą zdalne wykonanie kodu w Langflow – narzędziu open source do budowania potoków AI, śledzoną jako CVE-2025-3248. Po dostaniu się do środowiska docelowego agent AI nie tylko uruchomił skrypt – samodzielnie przeanalizował każdy etap ataku: rozpoznanie, kradzież danych uwierzytelniających, ruch poprzeczny i wreszcie wymuszenie.

Według badań agent użył skradzionych danych uwierzytelniających, by przejąć Nacos – usługę zarządzania konfiguracją, a następnie systematycznie zaszyfrował 1342 elementy konfiguracji i usunął schematy baz danych w ramach próby wymuszenia. Ten poziom skoordynowanego, wieloetapowego działania, bez udziału człowieka klikającego w kolejne fazy, sprawia, że ten przypadek jest godny uwagi. Operacje ransomware zawsze wymagały pewnej ręcznej orkiestracji. Ta wygląda na to, że w dużej mierze przeprowadziła się sama.

Czym to się różni od wcześniejszych ataków wspomaganych przez AI

Sztuczna inteligencja wkrada się do cyberprzestępczości od jakiegoś czasu, ale głównie jako narzędzie zwiększające produktywność ludzkich atakujących, a nie samodzielny operator. W sierpniu 2025 roku badacze opublikowali dowód koncepcji nazwany Ransomware 3.0, pokazujący, jak model AI mógłby teoretycznie zaplanować i przeprowadzić atak. Nie był to rzeczywisty incydent – bardziej strzał ostrzegawczy przed tym, co nadchodzi.

Ostrzeżenie nadeszło szybko. Mniej więcej w tym samym czasie Anthropic ujawniło prawdziwą kampanię wymuszenia, w której atakujący użyli narzędzia Claude Code, by naruszyć co najmniej 17 organizacji, a żądania okupu podobno przekraczały 500 000 dolarów. Co kluczowe, operacją wciąż kierował człowiek, wykorzystując AI jako mnożnik sił, a nie pozwalając jej działać niezależnie. Następnie w listopadzie 2025 roku Anthropic poszło dalej, opisując pierwszy w dużej mierze autonomiczny cyberatak: powiązaną z chińskim państwem kampanię szpiegowską, w której Claude został użyty do pisania exploitów i eksfiltracji danych przy minimalnym udziale człowieka.

JADEPUFFER wpisuje się w ten sam trend, ale posuwa go o krok dalej – w stronę przestępczości motywowanej finansowo, a nie szpiegostwa. Zamiast AI asystującego człowiekowi, agent najwyraźniej samodzielnie przeprowadził rozpoznanie, wykorzystanie luk, zbieranie danych uwierzytelniających i szyfrowanie jako ciągły, autonomiczny proces. Dla obrońców skraca to okno czasowe między początkowym naruszeniem a pełnym wymuszeniem – okno, które dawało zespołom bezpieczeństwa szansę na wykrycie i powstrzymanie włamania, zanim dojdzie do eskalacji.

Konsekwencje dla prywatności autonomicznych ataków

Implikacje dla prywatności wykraczają tu poza techniczną nowinkę. Gdy agent AI może samodzielnie identyfikować wartościowe dane, zbierać poświadczenia i przemieszczać się między systemami bez czekania na decyzje człowieka, skala i tempo naruszenia mogą przekroczyć zdolność organizacji do reagowania. Schematy baz danych i dane konfiguracyjne – takie, na jakie celowano w tym ataku – często stanowią spoiwo łączące dane osobowe w różnych systemach: rekordy użytkowników, uprawnienia dostępu i poświadczenia usług, które mogą otworzyć dostęp do jeszcze bardziej wrażliwych danych gdzie indziej.

Ma to znaczenie, ponieważ kradzież tożsamości i danych uwierzytelniających była szeroko rozpowszechnionym problemem na długo przed pojawieniem się AI. Z niedawnego raportu branżowego wynika, że 71% organizacji na całym świecie doświadczyło w 2025 roku co najmniej jednego naruszenia związanego z tożsamością, co podkreśla, jak często skradzione lub nadużywane poświadczenia stają się punktem wejścia do większych incydentów. Autonomiczny agent, który może wykorzystać lukę, zebrać te poświadczenia i przemieszczać się poprzecznie bez zatrzymywania się na weryfikację przez człowieka, jedynie przyspiesza trend, który już obciążał zespoły bezpieczeństwa.

Co to oznacza dla Ciebie

Jeśli zarządzasz infrastrukturą korzystającą z Langflow, Nacos lub podobnych narzędzi open source, szybkie łatanie znanych luk, takich jak CVE-2025-3248, przestało być opcjonalną czynnością porządkową. To bezpośrednia linia obrony przed atakami, które mogą teraz przejść od początkowego dostępu do pełnego szyfrowania szybciej, niż proces reagowania monitorowany przez człowieka mógłby je wychwycić. Dla zwykłych użytkowników praktyczny wniosek dotyczy nie tyle tego konkretnego narzędzia, ile szerszej zmiany, którą ono symbolizuje: naruszenia związane z kradzieżą poświadczeń i ujawnieniem danych osobowych będą prawdopodobnie następować szybciej i na większą skalę w miarę dojrzewania ataków napędzanych przez AI.

Praktyczne wskazówki

  • Szybko ładuj narzędzia wystawione na internet, zwłaszcza platformy open source, takie jak Langflow, które mają udokumentowane luki umożliwiające zdalne wykonanie kodu.
  • Zakładaj, że kradzież poświadczeń to kwestia „kiedy”, a nie „czy”, i używaj unikalnych, silnych haseł z menedżerem haseł oraz uwierzytelniania wieloskładnikowego wszędzie tam, gdzie jest oferowane.
  • Monitoruj nietypową aktywność na kontach i włącz powiadomienia o naruszeniach powiązane z Twoimi adresami e-mail.
  • Organizacje powinny traktować autonomiczne agenty AI jako nową kategorię podmiotów zagrażających w planowaniu reagowania na incydenty, a nie tylko hipotetyczne przyszłe ryzyko.

Przypadek JADEPUFFER to wyraźny sygnał, że autonomiczne ransomware oparte na AI przeszło z artykułu badawczego do rzeczywistego incydentu. Wyprzedzenie go zaczyna się od podstaw: łataj znane luki, chroń poświadczenia i zakładaj, że atakujący – ludzie czy nie – poruszają się szybciej niż kiedykolwiek wcześniej.