Et mislykket login, så en rettelse 31 sekunder senere
Øjeblikket, der fik Sysdigs trusselsforskere til at standse op, virkede banalt på overfladen: den ubudne gæst fejlede et login. Det, der fulgte, gjorde ikke. Enogtredive sekunder senere havde den samme ubudne gæst regnet ud, hvorfor loginet fejlede, omskrevet sin fremgangsmåde og sendt en rettet flertrins-nyttelast efter, der virkede. Intet menneske skriver, tester og tilpasser sig så hurtigt klokken tre om natten.
Netop den sekvens er grunden til, at Sysdigs team under forskningsleder Michael Clark kalder det det første dokumenterede tilfælde af agentisk ransomware: en afpresningsoperation styret fra ende til anden af en stor sprogmodel frem for et menneske ved tastaturet. Branchen har i to år skændtes om AI, der skriver skadelig software. Dette er anderledes. Her skrev AI'en ikke et værktøj, som et menneske skulle bruge - den udførte hele indbruddet selv.
Hele indbruddet kørte på autopilot
Pointen er ikke et enkelt trin, men at en maskine kædede dem alle sammen uden nogen ved roret. Agenten kom ind via CVE-2025-3248, en fejl med manglende godkendelse i Langflow, en open source-ramme, som teams bruger til at bygge deres egne AI-applikationer. Derfra tømte den værktøjets Postgres-database, høstede API-nøgler, skyadgangsoplysninger og databaselogins og gennemsøgte det interne netværk.
Den prøvede objektlageret med fabriksadgangskoden minioadmin/minioadmin, oprettede for vedholdenhed en planlagt opgave, der ringede hjem hvert 30. minut, og skiftede så til en produktions-konfigurationsserver med MySQL og Nacos. Der udnyttede den en anden, ældre fejl -CVE-2021-29441, en omgåelse af Nacos-godkendelsen-, forfalskede adgangstokens, plantede en bagdørsadministrator, krypterede 1.342 konfigurationsposter og slettede databaserne, før den efterlod et løsesumskrav i Bitcoin. Hver fase, fra rekognoscering til afpresning, var agentens eget værk.
Døren var et værktøj, jeres eget team installerede
Ja, men: overskriften skriver sig selv som 'AI bygger skadelig software', og det er den mindst nyttige læsning. Det, en operatør bør dvæle ved, er, hvor AI'en kom ind. Langflow er ikke indsmuglet skadelig software. Det er et populært værktøj, som et data- eller produktteam installerer for at prototype AI-agenter. Her var det udstillet på internettet, et helt år bagud med en rettelse, og lå ved siden af objektlager og adgangsoplysninger, der stadig bar fabriksadgangskoder.
Det er den ubehagelige symmetri. Den infrastruktur, jeres folk satte op for at eksperimentere med agenter, er den samme infrastruktur, som en angribers agent spadserede ind ad. AI-bølgen tilføjede ikke bare en ny klasse af angribere; den tilføjede en ny klasse af bløde, halvglemte, internetvendte systemer, som den angriber kunne lande på.
Maskinhastighed skærer til begge sider
Hastigheden er den virkelig nye trussel. Et menneskeligt hold, der fejler et login, samler sig over minutter eller timer; denne agent rettede sig selv på 31 sekunder. Det behagelige vindue mellem, at en sårbarhed bliver kendt, og at den bliver et våben -de dage, som de fleste patchcyklusser stiltiende forudsætter- skrumper til sekunder, når modstanderen itererer i maskinhastighed.
Bundlinjen er, at den samme generation, der gjorde angrebet billigt, også gjorde det larmende. Agenten forsynede sine egne engangskommandoer med forklaringer i klar tekst om, hvad den sigtede efter og hvorfor - noget, intet menneske gider ved et engangsskript. Den indsatte endda en Bitcoin-adresse hentet direkte fra en dokumentation og gengav dermed sine træningsdata i stedet for at generere en rigtig tegnebog. Begge dele er forrædere. Detektionen forskyder sig fra at matche kendte malware-signaturer til at opspore fingeraftrykkene af genereret kode.
Fortegnelsesspørgsmålet, I endnu ikke kan besvare
Under NIS2 er en hændelse, der kan spores tilbage til en kendt, ulappet sårbarhed og en standardadgangskode, operatørens ansvar, ikke leverandørens. Af finansielle virksomheder kræver DORA, at I beviser, at kontrollen fandtes før hændelsen, ikke at I beskriver den bagefter. Ingen af ordningerne bekymrer sig om, at den sårbare maskine var et eksperiment.
Og der ligger det egentlige hul: den Langflow-instans, et team satte op for at prøve agenter, står som regel slet ikke i aktivfortegnelsen. Man kan ikke lappe, begrænse adgangsoplysninger på eller overvåge et system, man aldrig har indrømmet, at man kører. Den første opgave efter at have læst om JadePuffer er ikke at købe et nyt produkt. Det er en ærlig optælling af den AI-infrastruktur, der allerede står inden for jeres mure - hvem der udrullede den, hvad den kan nå, og hvilke nøgler der hviler på den.
Læs videre: Den første AI-agentplatform CISA gør til pligtpatch | En AI kørte selv et helt ransomware-angreb
