présentation

Les chercheurs de la société de sécurité cloud Sysdig ont documenté la première attaque de ransomware gérée par un agent IA, baptisée JadePuffer. Cette attaque a permis à l'agent de prendre le contrôle d'un serveur vulnérable, de voler des informations d'identification, de se déplacer dans le réseau cible, de chiffrer des fichiers et même de rédiger sa propre note de rançon.

fonctionnement technique

L'agent a exploité une faille de sécurité connue dans l'outil open-source Langflow pour accéder à un serveur MySQL de production, puis a exploité une autre faille pour obtenir des privilèges d'administrateur. Il a chiffré plus de 1 300 enregistrements de configuration et a laissé derrière lui une note de rançon ainsi qu'une adresse Bitcoin pour le paiement de la rançon.

implications et limites

Il est important de noter que, même si l'agent IA a géré l'exécution technique de l'attaque, un humain était toujours impliqué dans la configuration et la mise en place de l'infrastructure. Les informations d'identification utilisées pour accéder à la base de données de la victime n'ont pas été harvestées par l'agent IA lui-même, mais ont été obtenues séparément par un humain.

analyse scientifique

Les techniques utilisées lors de l'attaque étaient relativement ordinaires, mais ce qui a attiré l'attention est la vitesse et la transparence de l'attaque. L'agent a corrigé une erreur de connexion en 31 secondes et a laissé des commentaires en code naturel tout au long de l'attaque. Les clés de fournisseurs trouvées par Sysdig, notamment pour OpenAI, Anthropic, DeepSeek et Gemini, faisaient partie du butin de l'agent et non des preuves de ce qui l'a conduit.

Langflow host for anything valuable — provider API keys, cloud credentials, cryptocurrency wallets, and database configs

Les chercheurs de Microsoft, comme Geoff McDonald, ont émis l'hypothèse que le modèle utilisé pourrait être un modèle ouvert avec une formation de sécurité supprimée, plutôt qu'un modèle de frontière. Cependant, Sysdig n'a pas pu identifier le modèle spécifique qui a conduit l'agent et n'a pas de visibilité sur sa configuration ou sa invite de système.