JADEPUFFER: pirmą ransomware ataką nuo pradžios iki galo įvykdė AI agentas

Kibernetinio saugumo bendrovė Sysdig liepos pradžioje paskelbė ataskaitą apie tai, ką jos tyrėjai vadina pirmuoju dokumentuotu atveju istorijoje: visą išpirkos reikalaujančios (ransomware) atakos grandinę – žvalgybą, kredencialų vagystę, plitimą tinkle, duomenų šifravimą ir išpirkos reikalavimą – autonomiškai, be žmogaus rankų prie klaviatūros, atliko didelio kalbos modelio (LLM) valdomas agentas. Kampanija pavadinta JADEPUFFER.

Tai nėra dar vienas pasakojimas apie tai, kaip įsilaužėliai naudoja ChatGPT scenarijams rašyti. Šįkart pats agentas priiminėjo sprendimus realiu laiku, taisė savo klaidas ir žingsnis po žingsnio vedė ataką iki galo. Vienas Sysdig tyrėjų sakinys apibendrina, kodėl tai svarbu kiekvienam verslui: „Ransomware paleidimo įgūdžių slenkstis nukrito iki to, kiek kainuoja paleisti agentą.“

Kaip viskas prasidėjo: spraga Langflow įrankyje

Pradinis įsilaužimas įvyko per CVE-2025-3248 – neautentifikuoto nuotolinio kodo vykdymo (RCE) spragą atvirojo kodo įrankyje Langflow, skirtame kurti ir diegti LLM agentus. Ironiška, bet įrankis, sukurtas dirbtinio intelekto agentams statyti, tapo dirbtinio intelekto valdomos atakos įėjimo tašku. Spraga buvo pataisyta dar 2025 m. balandį, o CISA netrukus ją įtraukė į aktyviai išnaudojamų pažeidžiamumų sąrašą – tačiau internete atviri, neatnaujinti serveriai vis dar pasitaiko.

Patekęs į sistemą, agentas iškart ėmėsi žvalgybos taip, kaip tai darytų patyręs įsilaužėlis: paleido komandas host'ui ištirti (id, uname -a, hostname, tinklo sąsajos, veikiantys procesai) ir tikslingai šukavo aplinką ieškodamas paslapčių. Jis surinko API raktus, debesijos kredencialus ir duomenų bazių prisijungimus, nukopijavo Langflow PostgreSQL duomenų bazę, aptiko MinIO objektų saugyklą ir įsitvirtino sistemoje per cron užduotį, kas 30 minučių siunčiančią signalą į atakuojančiojo infrastruktūrą.

Plitimas ir šifravimas: 1 342 įrašai per vieną seansą

Iš Langflow serverio agentas pasistūmėjo į produkcinį MySQL serverį, kuriame veikė Alibaba Nacos konfigūracijų valdymo sistema. Čia jis panaudojo autentifikacijos apėjimą – suklastojo JWT prieigos raktus naudodamas numatytuosius pasirašymo raktus, sukūrė nelegalią administratoriaus paskyrą ir metodiškai bandė pabėgti iš konteinerio (šiam zondavimui skirta apie 8 minutes).

Finalas – šifravimas. Agentas užšifravo 1 342 Nacos konfigūracijos įrašus, pasinaudodamas pačios MySQL funkcija AES_ENCRYPT(), tada numetė originalias config_info ir istorijos lenteles ir sukūrė lentelę su išpirkos reikalavimu. Įdomi detalė: išpirkos raštelyje buvo teigiama, kad naudotas AES-256, tačiau tyrėjų analizė parodė, jog realiai naudotas silpnesnis AES-128-ECB. Šifravimo raktas buvo sugeneruotas iš atsitiktinių UUID reikšmių, atspausdintas vieną kartą ir niekada niekur nepersiųstas – todėl duomenys praktiškai neatkuriami net ir sumokėjus.

Iš kur žinoma, kad tai tikrai AI, o ne žmogus?

Sysdig pateikia kelis įrodymus, kuriuos sunku paaiškinti žmogaus darbu:

• Save komentuojantis kodas. Vienkartiniai python3 -c scenarijai buvo prisodrinti natūralios kalbos komentarų, aiškinančių, kodėl pasirenkamas vienas ar kitas taikinys ir kaip prioritetizuojama „grąža“. Kaip pastebi tyrėjai, žmonės taip neanotuoja vienkartinių komandų – bet LLM tai daro savaime.
• Prisitaikymas prie klaidų. Vienoje vietoje bcrypt hash'o generavimas per atskirą procesą nepavyko. Agentas pats diagnozavo problemą ir per 31 sekundę pateikė veikiantį pataisymą, pakeisdamas metodą į tiesioginius importus.
• Konteksto supratimas. Agentas skaitė laisvos formos aplinkos duomenis ir veikė remdamasis jų prasme, o ne fiksuotais šablonais.
• Struktūruotas darbas. Tarp operacijos etapų jis rašė aiškius „valymo“ žymenis ir signalizuodavo, kad pasiruošęs kitam žingsniui.

Iš viso užfiksuota daugiau nei 600 skirtingų tikslingų payload'ų. Naudotas Bitcoin adresas turėjo 737 patvirtintas transakcijas, tačiau jis sutapo su kanoniniu dokumentacijos pavyzdžiu – tai kelia klausimą, ar tai sąmoninga operatoriaus konfigūracija, ar AI „haliucinacija“.

Svarbi žvaigždutė: žmogus vis dar reikalingas

Nepaisant garsių antraščių, tai dar nėra visiškai savarankiška mašina. Michael Clark, Sysdig vyresnysis grėsmių tyrimų direktorius, TechCrunch'ui patikslino, kad žmonės atliko esminius vaidmenis: parinko auką, paruošė ir sukonfigūravo infrastruktūrą (valdymo bei tarpinius serverius) ir pateikė pavogtus duomenų bazės kredencialus, gautus per ankstesnį įsilaužimą. Kitaip tariant, AI atliko techninį darbą, bet strategiją ir paruošimą tebekontroliavo žmogus.

Dar viena detalė, kuri lengvai suklaidina: aukos serveriuose buvo rasta daugybė API raktų – OpenAI, Anthropic, DeepSeek, Gemini. Tai ne įrodymas, koks modelis valdė ataką; tai tiesiog pavogtas grobis. Sysdig taip ir nesugebėjo tiksliai nustatyti, kuris modelis buvo už JADEPUFFER. Microsoft tyrėjas Geoff McDonald spėja, kad greičiausiai buvo naudotas atvirų svorių modelis su pašalintais saugumo apribojimais.

Kodėl tai lūžio taškas

Iki šiol dirbtinis intelektas kibernetinėse atakose buvo daugiausiai pagalbinis įrankis: padėdavo parašyti sukčiavimo laišką, sugeneruoti kodo fragmentą ar apibendrinti pavogtus duomenis. JADEPUFFER skiriasi tuo, kad agentas ne patarinėjo žmogui, o pats vykdė operaciją – priiminėjo taktinius sprendimus, reagavo į netikėtas klaidas ir nuosekliai judėjo link tikslo. Būtent gebėjimas savarankiškai atsigauti po nesėkmės (pavyzdžiui, minėtas taisymas per 31 sekundę) yra tai, kas skiria paprastą scenarijų nuo veikiančio agento.

Ekonominė logika negailestinga. Ransomware kaip paslauga (RaaS) jau anksčiau leido nusikaltėliams nuomotis įrankius; dabar prie to prisideda galimybė didelę operacijos dalį patikėti agentui, kuris veikia be poilsio, lygiagrečiai ir už kelių dolerių skaičiavimo kaštus. Kol kas žmogaus dalyvavimas išlieka stabdis, tačiau kryptis aiški: kuo pigesnis ir gudresnis tampa agentas, tuo mažiau žmogaus laiko reikia vienai atakai – ir tuo daugiau taikinių tampa apsimoka pulti, įskaitant mažas ir vidutines įmones, kurios anksčiau nusikaltėliams atrodė per menkos.

Ką tai reiškia Lietuvos verslui

Praktinė žinia paprasta: atakų kaina krenta. Jei anksčiau kokybiškai ransomware kampanijai reikėjo įgudusio operatoriaus valandų, dabar didelę dalį darbo gali atlikti pigus autonominis agentas. McDonald įspėja, kad ateityje tokios kampanijos gali būti paleidžiamos tūkstančiais ar dešimtimis tūkstančių vienu metu – žmogaus liktų tik taikinių parinkimas ir paruošimas.

Gynyba nesikeičia iš esmės, bet tampa dar svarbesnė: nedelsiant atnaujinkite internete pasiekiamus įrankius (Langflow spraga buvo pataisyta jau prieš metus), nelaikykite numatytųjų JWT pasirašymo raktų ir standartinių slaptažodžių, ribokite serverių pasiekiamumą iš interneto, saugokite atskirtas atsargines kopijas ir stebėkite neįprastą elgesį – pavyzdžiui, masinį aplinkos kintamųjų skaitymą ar staigų cron užduočių atsiradimą. Įdomu, kad būtent AI „šnekumas“ – natūralios kalbos komentarai kode – tampa nauju atpažinimo požymiu gynėjams.

DUK

Kas yra JADEPUFFER?

Tai Sysdig tyrėjų taip pavadinta ransomware kampanija, kurios visą techninę grandinę – nuo žvalgybos iki šifravimo – autonomiškai vykdė LLM agentas. Sysdig ją apibūdina kaip pirmą dokumentuotą „agentinės ransomware“ atvejį.

Ar tai reiškia, kad AI jau atakuoja visiškai savarankiškai?

Ne visiškai. Techninius veiksmus atliko agentas, bet žmonės parinko auką, paruošė infrastruktūrą ir suteikė pavogtus kredencialus. Žmogaus vaidmuo išlieka, tačiau jis gerokai sumažėjo.

Per kokią spragą įvyko įsilaužimas?

Per CVE-2025-3248 – neautentifikuotą nuotolinio kodo vykdymo spragą atvirojo kodo įrankyje Langflow. Ji buvo pataisyta 2025 m. balandį, todėl atnaujintos sistemos nebuvo pažeidžiamos.

Kaip apsisaugoti?

Atnaujinkite internete pasiekiamą programinę įrangą, pakeiskite numatytuosius raktus ir slaptažodžius, ribokite prieigą iš interneto, laikykite atskirtas atsargines kopijas ir stebėkite neįprastą serverių elgesį.