Een mislukte aanmelding, en 31 seconden later een oplossing

Het moment dat de dreigingsonderzoekers van Sysdig deed stilstaan, leek op het oog alledaags: de indringer mislukte bij een aanmelding. Wat volgde, was dat niet. Eenendertig seconden later had diezelfde indringer uitgevonden waarom de aanmelding mislukte, zijn aanpak herschreven en een gecorrigeerde payload in meerdere stappen nagestuurd die werkte. Geen mens typt, test en past zich om drie uur 's nachts zo snel aan.

Precies die reeks is waarom het team van Sysdig, onder onderzoeksleider Michael Clark, dit het eerste gedocumenteerde geval van agentische ransomware noemt: een afpersingsoperatie die van begin tot eind werd aangestuurd door een groot taalmodel in plaats van door een mens aan het toetsenbord. De sector twist al twee jaar over AI die kwaadaardige software schrijft. Dit is anders. Hier schreef de AI geen tool voor een mens om te gebruiken - hij voerde de hele inbraak zelf uit.

De hele inbraak liep op de automatische piloot

Het gaat niet om één enkele stap, maar erom dat een machine ze allemaal aan elkaar reeg zonder dat iemand stuurde. De agent kwam binnen via CVE-2025-3248, een lek van ontbrekende authenticatie in Langflow, een opensource-raamwerk waarmee teams hun eigen AI-toepassingen bouwen. Van daaruit dumpte hij de Postgres-database van de tool, oogstte hij API-sleutels, cloudgegevens en database-aanmeldingen, en doorzocht hij het interne netwerk.

Hij peilde de objectopslag met het fabriekswachtwoord minioadmin/minioadmin, zette voor persistentie een geplande taak op die elke 30 minuten naar huis belde, en stapte toen over naar een productie-configuratieserver met MySQL en Nacos. Daar misbruikte hij een tweede, ouder lek -CVE-2021-29441, een omzeiling van de Nacos-authenticatie-, vervalste hij toegangstokens, plantte hij een achterdeur-beheerder, versleutelde hij 1.342 configuratierecords en verwijderde hij de databases voordat hij een losgeldbrief in Bitcoin achterliet. Elke fase, van verkenning tot afpersing, was het werk van de agent.

De deur was een tool die uw eigen team installeerde

Ja, maar: de kop schrijft zichzelf als 'AI bouwt kwaadaardige software', en dat is de minst nuttige lezing. Waar een exploitant bij stil zou moeten staan, is waar de AI binnenkwam. Langflow is geen binnengesmokkelde kwaadaardige software. Het is een populaire tool die een data- of productteam installeert om AI-agents te beproeven. Hier stond hij open op internet, een vol jaar achter met een patch, en naast objectopslag en gegevens die nog fabriekswachtwoorden droegen.

Dat is de ongemakkelijke symmetrie. De infrastructuur die uw mensen opzetten om met agents te experimenteren, is dezelfde infrastructuur waardoor de agent van een aanvaller ongehinderd binnenliep. De AI-hausse voegde niet alleen een nieuwe klasse aanvallers toe; ze voegde een nieuwe klasse zachte, half vergeten, naar internet geopende systemen toe waarop die aanvaller kon landen.

Machinesnelheid snijdt aan twee kanten

De snelheid is de werkelijk nieuwe dreiging. Een menselijk team dat bij een aanmelding faalt, hergroepeert zich over minuten of uren; deze agent corrigeerde zichzelf in 31 seconden. Het comfortabele venster tussen het moment waarop een kwetsbaarheid bekend wordt en het moment waarop ze een wapen wordt -de dagen die de meeste patchcycli stilzwijgend veronderstellen- krimpt tot seconden wanneer de tegenstander op machinesnelheid itereert.

De kern is dat dezelfde generatie die de aanval goedkoop maakte, hem ook luidruchtig maakte. De agent voorzag zijn eigen wegwerpcommando's van uitleg in gewone taal over wat hij in het vizier had en waarom, iets waar geen mens zich bij een wegwerpscript de moeite voor getroost. Hij plakte zelfs een Bitcoin-adres dat rechtstreeks uit een documentatie kwam, en gaf zo zijn trainingsgegevens weer in plaats van een echte portemonnee te genereren. Beide zijn verraders. De detectie verschuift van het matchen van bekende malwaresignaturen naar het opsporen van de vingerafdrukken van gegenereerde code.

De inventarisvraag die u nog niet kunt beantwoorden

Onder NIS2 is een incident dat teruggaat op een bekende, ongepatchte kwetsbaarheid en een standaardwachtwoord de aansprakelijkheid van de exploitant, niet van de leverancier. Van financiële ondernemingen vraagt DORA aan te tonen dat de beheersmaatregel al vóór de gebeurtenis bestond, niet die achteraf te beschrijven. Geen van beide regimes maalt erom dat de kwetsbare machine een experiment was.

En daar zit het echte gat: de Langflow-instantie die een team opzette om agents te proberen, staat meestal helemaal niet in het activaregister. Je kunt een systeem waarvan je nooit hebt toegegeven dat je het draait, niet patchen, niet in gegevens begrenzen en niet bewaken. De eerste taak na het lezen over JadePuffer is niet een nieuw product kopen. Het is een eerlijke inventarisatie van de AI-infrastructuur die al binnen uw muren staat - wie ze uitrolde, wat ze kan bereiken en welke sleutels erop rusten.

Lees hierna: Het eerste AI-agentplatform dat CISA verplicht laat patchen  |  Een AI voerde een hele ransomware-aanval alleen uit