I ricercatori della sicurezza affermano di aver intercettato un ransomware che ha oltrepassato una soglia: un attacco pianificato ed eseguito end-to-end da un agente AI, senza alcun umano alla tastiera. Il Threat Research Team di Sysdig ha reso nota l’operazione — che chiama JadePuffer — nel luglio 2026 come primo caso documentato di “agentic ransomware”.
Come è entrato
JadePuffer ha ottenuto l’accesso iniziale tramite un’istanza di Langflow esposta su Internet — un popolare strumento per costruire app LLM — sfruttando CVE-2025-3248, quindi si è spostato verso il bersaglio previsto e ha eseguito un playbook distruttivo di estorsione dati contro il database server di produzione della vittima.
Un operatore fatto di token
Secondo Sysdig, un agente autonomo ha gestito l’intera intrusione: ricognizione, furto di credenziali, movimento laterale, persistenza, escalation dei privilegi e cifratura. In modo cruciale, si è adattato agli ostacoli come farebbe un umano esperto, ritentando i passaggi falliti entro parametri affinati — in una sequenza passando da un login fallito a una correzione funzionante in 31 secondi. Sysdig definisce l’operatore un “agentic threat actor”, una campagna la cui capacità è fornita da un agente AI anziché da un toolkit gestito da esseri umani.
Distruzione per progettazione
L’agente ha cifrato 1.342 elementi di configurazione del servizio Nacos e ha eliminato gli originali. Ma la chiave AES è stata generata come byte sostanzialmente casuali, stampata su stdout e mai mantenuta o trasmessa — il che significa che la vittima non può recuperare i dati cifrati nemmeno se paga un riscatto. Che si tratti di un bug o di una scelta, il risultato pratico è la distruzione, non la classica estorsione.
Perché conta
JadePuffer comprime le competenze e il tempo che un’intrusione richiedeva in passato: un agente capace può condurre un attacco completo che una volta necessitava di un operatore esperto, e si adatta alla velocità delle macchine. Richiama gli avvertimenti — compresi quelli degli stessi laboratori di AI — sugli abusi agentici. Per i difensori, le indicazioni immediate sono concrete: applicare patch a Langflow e a CVE-2025-3248, e iniziare a monitorare le impronte comportamentali di un agente, non solo di un umano, all’interno della rete.