La comparsa di JadePuffer segna un passaggio importante nella storia delle minacce digitali: secondo un’analisi di Sysdig, si tratta del primo ransomware osservato mentre viene gestito interamente da un agente di Intelligenza Artificiale. Non parliamo quindi di un semplice script automatizzato, ma di un sistema capace di correggere i propri errori e riprovare fino a ottenere il risultato desiderato.
Questo cambio di paradigma abbassa la barriera d’ingresso per gli attacchi più complessi. In pratica, operazioni che prima richiedevano esperienza tecnica, tempo e una certa dose di manualità possono ora essere orchestrate in modo più rapido e adattivo, con un impatto potenzialmente molto più ampio per aziende e organizzazioni esposte.
JadePuffer e il nuovo volto del ransomware AI
L’intrusione documentata dai ricercatori avrebbe preso avvio sfruttando CVE-2025-3248, una vulnerabilità presente in Langflow, piattaforma open source usata per creare applicazioni basate su modelli linguistici. La falla consente l’esecuzione di codice senza autenticazione, offrendo agli attaccanti un punto di ingresso particolarmente pericoloso se il servizio è esposto online.
Una volta dentro, JadePuffer ha avviato attività di ricognizione cercando processi in esecuzione, chiavi API di provider LLM, credenziali di database e wallet crypto. Informazioni di questo tipo sono preziose perché possono aprire la strada a movimenti laterali, ulteriori compromissioni e accessi privilegiati a sistemi collegati.
In seguito l’agente ha individuato un secondo server con MySQL e Nacos, collegandosi con credenziali root. Qui ha sfruttato CVE-2021-29441 per aggirare i controlli di autorizzazione, generare token validi tramite una chiave di firma predefinita e inserire un account backdoor nel database. Il risultato è stato un controllo sempre più profondo dell’infrastruttura compromessa.
Come avviene la cifratura e perché il riscatto non basta
Raggiunto l’obiettivo, JadePuffer ha usato funzioni native di cifratura di MySQL per bloccare 1.342 elementi di configurazione presenti in Nacos. Contestualmente è stata lasciata una richiesta di riscatto con indirizzo Bitcoin, una scelta in linea con il classico schema delle campagne ransomware. Ma, secondo Sysdig, il pagamento non avrebbe comunque garantito il ripristino dei dati.
Il punto critico è che l’agente avrebbe eliminato le informazioni cifrate senza conservare copie di backup, rendendo impossibile recuperarle persino per gli stessi aggressori. In altre parole, la vittima non avrebbe avuto alcuna leva concreta per riottenere l’accesso ai dati, nemmeno cedendo alle richieste economiche.
Le difese da adottare contro le minacce AI
Sysdig invita ad aggiornare Langflow per correggere CVE-2025-3248 e, più in generale, a evitare l’esposizione di endpoint che consentano esecuzione di codice senza autenticazione e adeguata segmentazione di rete. Tra le misure più utili restano fondamentali la rotazione periodica di chiavi API e credenziali amministrative, la disattivazione delle configurazioni predefinite nei sistemi come Nacos, il monitoraggio delle attività anomale sui database e il rispetto del principio del privilegio minimo.
Serve anche un controllo regolare degli account amministrativi, così da individuare eventuali backdoor o modifiche sospette. La vera novità, infatti, non è tanto nelle tecniche utilizzate da JadePuffer, già note nel panorama criminale, quanto nella capacità di un agente AI di combinarle, adattarsi agli errori e completare un’estorsione in autonomia. Se questo modello dovesse diffondersi, il rischio è un forte abbassamento del costo tecnico per lanciare attacchi ransomware, con conseguenze serie per la cybersicurezza globale.
