JadePuffer: de eerste 'agentische' ransomware geautomatiseerd door een AI

Een AI die een ransomware-aanval bijna in zijn eentje tot een goed einde brengt, klinkt als sciencefiction — en het is echt gebeurd, maar met een reeks 'maren' die flink meewegen. Cloudbeveiligingsbedrijf Sysdig heeft wat het de eerste succesvol voltooide 'agentische' ransomware noemt, gedoopt tot "JadePuffer". In de praktijk schreef niet een mens elke regel kwaadaardige code, maar nam een agent gebaseerd op een taalmodel een doel in ontvangst en werkte bijna helemaal zelfstandig. Het begon allemaal met een bekende kwetsbaarheid in Langflow, een framework voor LLM-apps, door een RCE-lek (CVE-2025-3248) te misbruiken dat overigens afgelopen april al was gepatcht. Dat herinnert ons eraan dat het bijwerken van software de eerste verdedigingslinie blijft, ongeacht wie — of wat — ons aanvalt.

Wat me het meest treft, en wat je een wenkbrauw doet optrekken, is de autonomie die de agent toonde. Eenmaal binnen voerde hij verkenning uit, laterale beweging door een tweede lek in Alibaba Nacos te misbruiken, diefstal van inloggegevens en zelfs versleuteling van data. En hier komt het curieuze detail: de AI maakte een inlogfout, maar corrigeerde die in slechts 31 seconden, terwijl hij zijn eigen redenering "vertelde" in commentaren in natuurlijke taal, zoals een ontwikkelaar die zijn stappen documenteert. Hij versleutelde ruim 1.300 configuratie-items met native MySQL-functies en maakte zelfs een tabel aan voor de losgeldeis. Het was een razendsnel, adaptief proces — iets wat traditionele beveiligingssystemen mogelijk niet meteen herkennen.

Maar wacht even, laten we niet meteen aan Skynet denken dat kernraketten afvuurt. Zoals Michael Clark van Sysdig benadrukte: "een mens heeft de operatie toch opgezet en aangestuurd, de infrastructuur voorbereid — de command-and-control-server, de staging-server voor de gestolen data — en het slachtoffer gekozen." De AI automatiseerde de technische uitvoering en verlaagde daarmee de benodigde competentiedrempel om aan te vallen, maar het criminele brein is nog steeds biologisch. Een grappig detail dat de "kunstmatige" aard van de aanval verraadt, is het Bitcoin-adres dat in de losgeldbrief werd achtergelaten: het was een generiek voorbeeld uit de documentatie, een klassieke misser van de AI die uit zijn eigen trainingsdata putte. We weten niet met zekerheid welk model is gebruikt, al vermoedt Geoff McDonald van Microsoft een open-weight model met verwijderde veiligheidsfilters.

De kern van het verhaal is dat de drempel voor cybercriminelen drastisch daalt. Je hoeft geen doorgewinterde hacker meer te zijn om een complexe aanval te lanceren — je hebt alleen de juiste inloggegevens nodig en laat de AI-agent het vuile werk opknappen. Toch waren de misbruikte kwetsbaarheden oude bekenden en al gepatcht, wat betekent dat de goede oude digitale hygiëne onze beste verdediging blijft. AI is een ontzettend krachtig gereedschap, maar uiteindelijk zijn wij het nog altijd die de eigen voordeur op slot moeten doen.

— Pixie