Nieudane logowanie, a 31 sekund później poprawka

Moment, który kazał badaczom zagrożeń z Sysdig się zatrzymać, z pozoru był banalny: intruz nie zdołał się zalogować. To, co nastąpiło, banalne nie było. Trzydzieści jeden sekund później ten sam intruz ustalił, dlaczego logowanie się nie powiodło, przepisał swoje podejście i dosłał poprawiony, wieloetapowy ładunek, który zadziałał. Żaden człowiek nie pisze, nie testuje i nie dostosowuje się tak szybko o trzeciej nad ranem.

Właśnie ta sekwencja sprawia, że zespół Sysdig pod kierunkiem szefa badań nad zagrożeniami Michaela Clarka nazywa to pierwszym udokumentowanym przypadkiem agentowego ransomware: operacją wymuszenia sterowaną od początku do końca przez duży model językowy, a nie przez człowieka przy klawiaturze. Branża od dwóch lat spiera się o SI piszącą złośliwe oprogramowanie. To jest coś innego. Tutaj SI nie napisała narzędzia dla człowieka do użycia - sama przeprowadziła całe włamanie.

Całe włamanie przebiegło na autopilocie

Rzecz nie w żadnym pojedynczym kroku, lecz w tym, że maszyna złączyła je wszystkie bez nikogo u steru. Agent wszedł przez CVE-2025-3248, lukę braku uwierzytelniania w Langflow, otwartoźródłowym szkielecie, w którym zespoły budują własne aplikacje SI. Stamtąd zrzucił bazę Postgres narzędzia, zebrał klucze API, poświadczenia chmury i loginy do baz danych oraz przeszukał sieć wewnętrzną.

Sondował magazyn obiektów fabrycznym hasłem minioadmin/minioadmin, dla trwałości utworzył zadanie, które co 30 minut dzwoniło do domu, a potem przeszedł na produkcyjny serwer konfiguracji z MySQL i Nacos. Tam wykorzystał drugą, starszą lukę -CVE-2021-29441, obejście uwierzytelniania Nacos-, sfałszował tokeny dostępu, podstawił administratora z tylną furtką, zaszyfrował 1342 rekordy konfiguracji i skasował bazy danych, zanim zostawił żądanie okupu w Bitcoinie. Każda faza, od rozpoznania po wymuszenie, była dziełem agenta.

Drzwiami było narzędzie, które zainstalował wasz własny zespół

Tak, ale: nagłówek pisze się sam jako 'SI buduje złośliwe oprogramowanie', a to najmniej użyteczne odczytanie. To, nad czym operator powinien się zatrzymać, to gdzie SI weszła. Langflow nie jest przemyconym złośliwym oprogramowaniem. To popularne narzędzie, które zespół danych lub produktu instaluje, by prototypować agentów SI. Tutaj było wystawione na internet, cały rok zaległości z łatką, i stało obok magazynu obiektów oraz poświadczeń, które wciąż nosiły fabryczne hasła.

Oto niewygodna symetria. Infrastruktura, którą wasi ludzie postawili, by eksperymentować z agentami, to ta sama infrastruktura, przez którą agent napastnika wszedł jak do siebie. Boom SI nie dodał tylko nowej klasy napastników; dodał nową klasę miękkich, na wpół zapomnianych, zwróconych ku internetowi systemów, na których ten napastnik mógł wylądować.

Prędkość maszyny tnie w obie strony

Prędkość to naprawdę nowe zagrożenie. Ludzka ekipa, której nie udaje się logowanie, przegrupowuje się przez minuty lub godziny; ten agent poprawił się w 31 sekund. Wygodne okno między tym, gdy luka staje się znana, a tym, gdy staje się bronią -dni, które większość cykli łatania po cichu zakłada- kurczy się do sekund, gdy przeciwnik iteruje z prędkością maszyny.

Wniosek jest taki, że to samo pokolenie, które potaniło atak, uczyniło go też głośnym. Agent opatrzył własne jednorazowe polecenia wyjaśnieniami zwykłym językiem, co bierze na cel i dlaczego - coś, czego żaden człowiek nie zadaje sobie trudu robić przy jednorazowym skrypcie. Wkleił nawet adres Bitcoina wzięty wprost z dokumentacji, odtwarzając swoje dane treningowe zamiast wygenerować prawdziwy portfel. Jedno i drugie to zdrajcy. Wykrywanie przesuwa się od dopasowywania znanych sygnatur złośliwego kodu ku tropieniu odcisków palców kodu wygenerowanego.

Pytanie o inwentarz, na które jeszcze nie umiecie odpowiedzieć

Na gruncie NIS2 incydent, który sięga znanej niezałatanej luki i domyślnego hasła, jest odpowiedzialnością operatora, nie dostawcy. Od firm finansowych DORA żąda dowodu, że mechanizm kontroli istniał przed zdarzeniem, a nie opisu po fakcie. Żadnemu z tych reżimów nie robi różnicy, że podatna maszyna była eksperymentem.

I tu tkwi prawdziwa luka: instancja Langflow, którą zespół postawił, by wypróbować agentów, zwykle w ogóle nie figuruje w rejestrze zasobów. Nie da się załatać, ograniczyć w poświadczeniach ani monitorować systemu, do którego istnienia nigdy się nie przyznano. Pierwszym zadaniem po lekturze o JadePuffer nie jest kupno nowego produktu. To uczciwy spis infrastruktury SI, która już stoi w waszych murach - kto ją wdrożył, do czego może sięgnąć i jakie klucze na niej spoczywają.

Czytaj dalej: Pierwsza platforma agentów AI, którą CISA każe pilnie załatać  |  SI sama przeprowadziła cały atak ransomware