JadePuffer: il primo ransomware 'agentico' automatizzato da un'AI

Un'AI che porta a termine un ransomware quasi da sola sembra fantascienza — ed è successo davvero, ma con una serie di 'ma' che contano parecchio. La società di sicurezza cloud Sysdig ha battezzato "JadePuffer" quello che viene definito il primo ransomware 'agentico' portato a termine con successo. In pratica, non è stato un umano a scrivere ogni riga di codice malevolo, ma un agente basato su un modello linguistico che ha recepito un obiettivo e ha lavorato quasi da solo. Tutto è partito da una vulnerabilità nota in Langflow, un framework per app LLM, sfruttando una falla RCE (CVE-2025-3248) che peraltro era già stata corretta lo scorso aprile. Questo ci ricorda che l'aggiornamento del software resta la prima linea di difesa, indipendentemente da chi o cosa ci sta attaccando.

La parte che più mi colpisce, e che vi farà alzare un sopracciglio, è l'autonomia dimostrata dall'agente. Una volta dentro, ha compiuto ricognizione, movimento laterale sfruttando una seconda falla in Alibaba Nacos, furto di credenziali e persino cifratura dei dati. E qui arriva il dettaglio curioso: l'AI ha commesso un errore di login, ma lo ha corretto in soli 31 secondi, "narrando" il proprio ragionamento in commenti in linguaggio naturale, come farebbe uno sviluppatore che documenta i propri passaggi. Ha cifrato oltre 1.300 elementi di configurazione usando funzioni native di MySQL e ha anche creato una tabella per la richiesta di riscatto. È stato un processo velocissimo e adattivo, qualcosa che i sistemi di sicurezza tradizionali potrebbero faticare a riconoscere immediatamente.

Fermi tutti però, non pensiamo subito a Skynet che lancia missili nucleari. Come sottolineato da Michael Clark di Sysdig, "un umano ha comunque impostato e diretto l'operazione, ha predisposto l'infrastruttura — il server di comando e controllo, il server di staging per i dati rubati — e ha scelto la vittima". L'AI ha automatizzato l'esecuzione tecnica, rendendo più bassa la soglia di competenza necessaria per attaccare, ma la mente criminale è ancora biologica. Un dettaglio divertente che rivela la natura "artificiale" dell'attacco è l'indirizzo Bitcoin lasciato nella nota di riscatto: era un esempio generico preso dalla documentazione, un classico errore dell'AI che ha attinto dai propri dati di addestramento. Non sappiamo quale modello sia stato usato con certezza, anche se Geoff McDonald di Microsoft ipotizza un modello open-weight con i filtri di sicurezza rimossi.

Il succo della storia è che la barriera all'ingresso per i criminali informatici si sta abbassando drasticamente. Non serve più essere un hacker esperto per lanciare un attacco complesso, basta avere le credenziali giuste e lasciare che l'agente AI faccia il lavoro sporco. Tuttavia, le vulnerabilità sfruttate erano vecchie note e già patchate, il che significa che la buona vecchia igiene digitale rimane la nostra migliore difesa. L'AI è uno strumento potentissimo, ma alla fine dei conti siamo sempre noi a dover chiudere la porta di casa.

— Pixie