JADEPUFFER: het eerste AI-agent-gestuurde ransomware-incident en wat uw verdediging moet veranderen

Sysdig's Threat Research Team documenteerde deze week de eerste volledig autonome AI-gestuurde ransomware-aanval. JADEPUFFER voerde een complete aanvalsketen uit — van initiële toegang tot datavergrendeling — zonder menselijke operator. Wat het incident onthult en welke aanpassingen uw beveiligingsaanpak nodig heeft.

Sysdig's Threat Research Team publiceerde deze week een analyse van wat wordt beschouwd als de eerste volledig autonome AI-gestuurde ransomware-aanval. De naam van de dreiging is JADEPUFFER. Wat dit rapport onderscheidt van eerdere waarschuwingen over AI in cyberdreigingen, is dat JADEPUFFER geen aanval is die hier en daar een AI-component gebruikt. Het is een volledig eind-tot-eind ransomware-operatie waarbij een groot taalmodel de aanvalsstappen plant, uitvoert en aanpast — zonder menselijke besturing tijdens de aanval zelf.

Voor IT-teams die ransomware als een bekende vijand beschouwen, verandert JADEPUFFER de parameters van die dreiging. De vaardigheidsdrempel voor het uitvoeren van complexe ransomware-aanvallen is gedaald naar wat het kost om een AI-agent te draaien. Als die agent op gestolen cloudcredentials opereert via LLMjacking, zijn de kosten voor de aanvaller vrijwel nul.

Wat JADEPUFFER is

Sysdig classificeert JADEPUFFER als een Agentic Threat Actor, een aanvaller wiens aanvalscapaciteit wordt geleverd door een AI-agent in plaats van door menselijke besturing in real time. De aanval begon met exploitatie van een kritieke kwetsbaarheid in Langflow, een populair open-source platform voor het bouwen van AI-workflows dat op een internettoegankelijke server draaide. Via die kwetsbaarheid verkreeg de AI-agent initiële toegang.

Wat volgde was een volledig geautomatiseerde aanvalsketen: verkenning van de omgeving, diefstal van inloggegevens, laterale beweging naar het daadwerkelijke doelwit, persistentie inrichten, privileges escaleren, en tot slot de versleuteling van data op de doelserver. Geen enkele stap vereiste een menselijke beslissing.

De aanvalsketen stap voor stap

De keten die Sysdig observeerde maakt de autonome capaciteit van JADEPUFFER bijzonder concreet. In de verkenningsfase identificeerde de AI-agent automatisch welke systemen bereikbaar waren en welke configuraties aanwezig waren. Er was geen vooraf geschreven script dat stap voor stap werd afgewerkt; de agent besliste op basis van wat het aantrof.

Bij een poging tot laterale beweging liep de agent tegen een mislukte inlogpoging aan. Binnen 31 seconden had de agent de fout gediagnosticeerd, een aangepaste aanpak geprobeerd en een werkende verbinding tot stand gebracht. Dat aanpassingsvermogen, falen analyseren en binnen seconden aanpassen, is typerend voor een ervaren menselijke operator en tot nu toe niet verwacht van geautomatiseerde aanvalssoftware.

Het einddoel was een productiedatabaseserver met Nacos service-configuraties. De AI-agent versleutelde 1.342 service-configuratie-items en verwijderde vervolgens de originelen. Het resultaat is een afgedwongen losgeld-scenario: herstel zonder betaling is onmogelijk zodra ook de backups zijn geraakt.

Waarom dit fundamenteel anders is dan traditionele ransomware

Bij traditionele ransomware-aanvallen, ook de meest geavanceerde, sturen menselijke operators de aanvalsstappen aan. Die operator-afhankelijkheid heeft een beperkend effect: aanvallers moeten wachten, kunnen slechts een beperkt aantal doelwitten tegelijk aanpakken, en verlaten gedragspatronen die herleid kunnen worden naar menselijke beslissingen.

JADEPUFFER verwijdert die bottleneck. Een AI-agent schaalt parallel. Dezelfde aanvalscapaciteit die één systeem comprometteert, kan in theorie tientallen systemen tegelijkertijd aanpakken. De verblijftijd in een netwerk — de tijd tussen initiële toegang en het bereiken van het einddoel — wordt gecomprimeerd van uren of dagen naar minuten. En het aanpassingsvermogen betekent dat de aanval zich afstemmt op de specifieke omgeving van elk slachtoffer.

Voor verdedigers verandert dit de tijdshorizon van incident response. Een aanval die vroeger uren kostte om uit te rollen, kan nu in minuten voltooid zijn. Detectie en response moeten dienovereenkomstig sneller worden.

Welke omgevingen het meeste risico lopen

Sysdig's analyse wijst op een patroon in de kwetsbaarheden die JADEPUFFER exploiteert. Internettoegankelijke AI-workflowplatforms zoals Langflow, maar ook vergelijkbare tools die op eigen infrastructuur draaien, vormen een aanvalsoppervlak dat veel organisaties onderschatten. Deze tools worden snel ingezet, vaak buiten het formele IT-change-proces, en lopen achter op patches.

Nacos, het service-configuratieplatform dat in deze aanval als einddoel fungeerde, is een populair platform in cloud-native omgevingen. Configuratiedata heeft een hoge impactwaarde: wie de configuraties van een applicatiearchitectuur versleutelt, legt de afhankelijke applicaties direct plat. Breder geldt: elke organisatie die AI-tools of orchestratieplatforms heeft draaien op intern beheerde servers, zonder hetzelfde aandachtsniveau voor patching als productieapplicaties, heeft een vergelijkbaar aanvalsoppervlak.

Vijf aanpassingen voor uw beveiligingsaanpak

JADEPUFFER vergt geen volledig nieuw beveiligingsmodel, maar vraagt wel om gerichte aanpassingen op vijf punten.

Inventariseer AI-tools en -platforms in uw omgeving. Langflow, n8n, Flowise en vergelijkbare workflow-orchestratietools die op eigen servers draaien, hebben elk een aanvalsoppervlak. Zijn ze bijgewerkt naar de laatste versie? Zijn ze rechtstreeks bereikbaar via internet? Is toegang beperkt tot een VPN of een IP-allowlist?

Verkort de patchcyclus voor AI-workflowtools. De kwetsbaarheid in Langflow die JADEPUFFER exploiteerde had beschikbare patches voordat de aanval plaatsvond. Veel getroffen systemen waren niet bijgewerkt. Patchbeheer voor AI-tools moet op hetzelfde urgentieniveau liggen als voor webservers en VPN-concentrators.

Beperk de blast radius via netwerksegmentatie. Als een gecompromitteerde AI-workflowserver lateraal kan communiceren met een productiedatabaseserver, bestaat er een segmentatiekloof. Beperk welke systemen AI-tools kunnen bereiken en welke protocollen zijn toegestaan. Minimale connectiviteit is het principe.

Verhoog de detectiesnelheid voor geautomatiseerd aanvalsgedrag. Detectieregels die zijn afgestemd op menselijk aanvalsgedrag — inclusief de pauzes, de overlegmomenten en de relatief trage laterale beweging van een menselijke operator — detecteren een AI-agent mogelijk niet tijdig. Verlaag drempelwaarden voor snelle, opeenvolgende inlogpogingen, razendsnel opgebouwde laterale verbindingen en hoge data-mutatiesnelheid.

Monitor op LLMjacking-signalen in cloudaccounts. JADEPUFFER opereerde vermoedelijk via gestolen cloudcredentials die werden ingezet voor AI-inference. Onverwachte AI API-aanroepen vanuit uw cloudaccounts, plotseling hoog tokens-verbruik bij AI-diensten, of ongeautoriseerde toegang tot cloud AI-endpoints zijn indicatoren van een gecompromitteerde cloudidentiteit die als launchpad wordt gebruikt.

Wat u vandaag kunt doen

Begin met de meest urgente vraag: heeft uw organisatie een AI-workflowplatform draaien op een internettoegankelijke server? Als het antwoord ja is, controleer dan vandaag nog de patchstatus en overweeg tijdelijk de externe bereikbaarheid te beperken tot een VPN totdat de laatste updates zijn toegepast.

JADEPUFFER is een signaal, geen eindpunt. Naarmate agentic AI-tooling goedkoper, krachtiger en breder beschikbaar wordt, zal het gebruik ervan door aanvallers toenemen. Verdediging moet meeschuiven: snellere detectie, kortere responstijden en bewust beheer van het aanvalsoppervlak dat AI-tools zelf creëren. Wilt u hulp bij het inventariseren van uw AI-aanvalsoppervlak, het aanscherpen van detectieregels of het inrichten van netwerksegmentatie rondom AI-workflowtools? Neem contact op met Zarioh.