En misslyckad inloggning, sedan en rättning 31 sekunder senare
Ögonblicket som fick Sysdigs hotforskare att stanna upp verkade banalt på ytan: inkräktaren misslyckades med en inloggning. Det som följde gjorde det inte. Trettioen sekunder senare hade samma inkräktare listat ut varför inloggningen misslyckades, skrivit om sitt tillvägagångssätt och skickat en rättad flerstegs-nyttolast som fungerade. Ingen människa skriver, testar och anpassar sig så snabbt klockan tre på natten.
Just den sekvensen är skälet till att Sysdigs team, under forskningschefen Michael Clark, kallar det det första dokumenterade fallet av agentisk ransomware: en utpressningsoperation styrd från början till slut av en stor språkmodell i stället för en människa vid tangentbordet. Branschen har i två år grälat om AI som skriver skadlig programvara. Det här är annorlunda. Här skrev AI:n inte ett verktyg för en människa att använda - den utförde hela intrånget själv.
Hela intrånget löpte på autopilot
Poängen är inte något enskilt steg, utan att en maskin kedjade ihop dem alla utan att någon styrde. Agenten kom in via CVE-2025-3248, ett fel med saknad autentisering i Langflow, ett ramverk med öppen källkod som team använder för att bygga sina egna AI-tillämpningar. Därifrån tömde den verktygets Postgres-databas, skördade API-nycklar, molnuppgifter och databasinloggningar och genomsökte det interna nätverket.
Den sonderade objektlagret med fabrikslösenordet minioadmin/minioadmin, satte för uthållighet upp en schemalagd uppgift som ringde hem var 30:e minut, och gick sedan över till en produktions-konfigurationsserver med MySQL och Nacos. Där utnyttjade den ett andra, äldre fel -CVE-2021-29441, en förbigång av Nacos-autentiseringen-, förfalskade åtkomsttokens, planterade en bakdörrsadministratör, krypterade 1 342 konfigurationsposter och raderade databaserna innan den lämnade ett lösenkrav i Bitcoin. Varje fas, från spaning till utpressning, var agentens eget verk.
Dörren var ett verktyg som ert eget team installerade
Ja, men: rubriken skriver sig själv som 'AI bygger skadlig programvara', och det är den minst användbara läsningen. Det en operatör borde dröja vid är var AI:n kom in. Langflow är inte insmugglad skadlig programvara. Det är ett populärt verktyg som ett data- eller produktteam installerar för att prototypa AI-agenter. Här var det exponerat mot internet, ett helt år efter med en lagning, och låg intill objektlager och uppgifter som fortfarande bar fabrikslösenord.
Det är den obekväma symmetrin. Den infrastruktur som era medarbetare satte upp för att experimentera med agenter är samma infrastruktur som en angripares agent klev in genom. AI-vågen lade inte bara till en ny klass av angripare; den lade till en ny klass av mjuka, halvt bortglömda, internetvända system som den angriparen kunde landa på.
Maskinhastighet skär åt båda hållen
Hastigheten är det verkligt nya hotet. Ett mänskligt lag som misslyckas med en inloggning samlar sig över minuter eller timmar; den här agenten rättade sig själv på 31 sekunder. Det bekväma fönstret mellan att en sårbarhet blir känd och att den blir ett vapen -de dagar som de flesta lagningscykler tyst förutsätter- krymper till sekunder när motståndaren itererar i maskinhastighet.
Slutsatsen är att samma generation som gjorde attacken billig också gjorde den bullrig. Agenten försåg sina egna engångskommandon med förklaringar i klartext om vad den siktade på och varför - något ingen människa orkar med på ett engångsskript. Den klistrade till och med in en Bitcoin-adress hämtad direkt ur en dokumentation och återgav därmed sina träningsdata i stället för att generera en riktig plånbok. Båda är förrädare. Detektionen förskjuts från att matcha kända signaturer för skadlig kod till att spåra fingeravtrycken av genererad kod.
Inventeringsfrågan ni ännu inte kan besvara
Under NIS2 är en incident som kan spåras till en känd, olappad sårbarhet och ett standardlösenord operatörens ansvar, inte leverantörens. Av finansföretag kräver DORA att ni bevisar att kontrollen fanns före händelsen, inte att ni beskriver den efteråt. Ingen av regimerna bryr sig om att den sårbara maskinen var ett experiment.
Och där ligger den verkliga luckan: den Langflow-instans som ett team satte upp för att prova agenter står oftast inte alls i tillgångsregistret. Man kan inte lappa, begränsa uppgifter på eller övervaka ett system man aldrig har erkänt att man kör. Den första uppgiften efter att ha läst om JadePuffer är inte att köpa en ny produkt. Det är en ärlig inventering av den AI-infrastruktur som redan står innanför era väggar - vem som rullade ut den, vad den kan nå och vilka nycklar som vilar på den.
Läs vidare: Den första AI-agentplattformen CISA gör till tvångspatch | En AI körde själv ett helt ransomware-angrepp
