Jadepuffer è il primo attacco ransomware condotto autonomamente da un agente AI

Finora l'intelligenza artificiale era uno strumento nelle mani dei criminali informatici, un assistente per scrivere codice malevolo o phishing più convincente. Con Jadepuffer il paradigma cambia: per la prima volta, secondo i ricercatori del Sysdig Threat Research Team, un attacco ransomware è stato condotto interamente da un agente AI, senza un operatore umano ai comandi, che ha lasciato dietro di sé una richiesta di riscatto in Bitcoin.

Il punto di ingresso è stato una vulnerabilità critica in Langflow, una piattaforma open source per sviluppare applicazioni basate su modelli linguistici. La falla, catalogata come CVE-2025-3248, permetteva l'esecuzione di codice da remoto senza alcuna autenticazione: in pratica, chiunque sapesse dove guardare poteva entrare senza bussare.

Una volta dentro, l'agente AI ha fatto quello che farebbe un attaccante umano esperto, cioè ha raccolto credenziali, file di configurazione, password e variabili d'ambiente, poi ha usato tutto questo per spostarsi lateralmente verso un server esposto con credenziali deboli o non protette correttamente.

Fin qui, niente di strutturalmente nuovo rispetto a un attacco tradizionale. La differenza sta in quello che succede quando incontra un ostacolo.

Sysdig descrive il comportamento dell'agente come "adattivo": invece di seguire uno script fisso, l'AI ha osservato i risultati di ogni azione e, quando qualcosa non funzionava, ha diagnosticato il problema e generato una correzione in circa 30 secondi. Un malware classico si blocca davanti a un ostacolo imprevisto; questo agente lo aggirava in tempo reale, usando il linguaggio naturale come interfaccia di controllo.

A completamento dell'attacco, l'AI ha creato una tabella chiamata README_RANSOM con la richiesta di riscatto in Bitcoin e un contatto email anonimo su Proton Mail. Il consiglio che vale sempre, e che vale doppio qui: non pagare mai il riscatto, perché non garantisce il recupero dei dati. E in questo caso i ricercatori di Sysdig confermano che i dati colpiti da Jadepuffer non sarebbero stati recuperabili nemmeno pagando.

C'è però un dettaglio che fa riflettere: l'attacco è partito come ransomware, ma si è trasformato in qualcosa di più distruttivo. I dati non sono stati cifrati e resi recuperabili a pagamento, sono stati distrutti. E nel codice analizzato non ci sono prove di esfiltrazione dei dati. L'AI, insomma, potrebbe aver gestito male la fase finale dell'operazione, trasformando un'estorsione in un sabotaggio.

Anche l'indirizzo Bitcoin indicato per il pagamento è un caso a parte: Sysdig ipotizza che potrebbe essere un'allucinazione dell'AI, ovvero un indirizzo reale recuperato dai dati di addestramento del modello, non necessariamente nella disponibilità di chi ha orchestrato l'attacco. L'indirizzo ha un storico di oltre 46 BTC ricevuti e inviati (circa 2,9 milioni di dollari al cambio attuale), ma il saldo oggi è zero e non ci sono prove che quelle transazioni siano collegate a Jadepuffer.

Chi c'è dietro? Non è chiaro. Sysdig non è riuscita a stabilire se si tratti di un gruppo strutturato, un singolo attore o semplicemente qualcuno che ha configurato un agente AI e lo ha lasciato lavorare.

Il punto non è che questa AI sia infallibile, anzi: ha sbagliato la fase finale e probabilmente non ha nemmeno riscosso il riscatto. Il punto è che ha agito in autonomia, si è adattata agli ostacoli e ha portato a termine un attacco complesso senza che nessuno premesse un tasto. La prossima versione potrebbe fare tutto questo senza gli errori, dunque bisogna fare in modo che tutto ciò non possa accadere.

L'articolo Jadepuffer è il primo attacco ransomware condotto autonomamente da un agente AI sembra essere il primo su Smartworld.