JADEPUFFER: pierwszy atak ransomware, który sztuczna inteligencja przeprowadziła sama od początku do końca

Napastnik zostawił w kodzie komentarze pełnym zdaniem, tłumaczące, dlaczego robi każdy kolejny krok. Kiedy jedno z jego poleceń nie zadziałało, sam zdiagnozował przyczynę i w trzydzieści jeden sekund napisał poprawioną wersję. Wyglądałoby to na opis wyjątkowo skrupulatnego włamywacza, gdyby nie jeden szczegół: przy klawiaturze nie było człowieka. Firma Sysdig, która zajmuje się bezpieczeństwem chmury, opisała na początku lipca 2026 roku kampanię o nazwie JADEPUFFER. To pierwszy udokumentowany przypadek, w którym cały atak ransomware, od włamania po zniszczenie bazy danych, poprowadził autonomiczny agent oparty na dużym modelu językowym. Żaden przestępca nie sterował nim ręcznie.

Agent wszedł przez narzędzie do budowania agentów AI

Ironii tej historii trudno przeoczyć. Wejściem do sieci ofiary była wystawiona do internetu instancja Langflow, popularnego narzędzia typu open source do wizualnego składania aplikacji i agentów AI z gotowych klocków. Atakujący wykorzystał lukę oznaczoną jako CVE-2025-3248, która pozwala uruchomić dowolny kod bez logowania. Problem w tym, że tę dziurę załatano już w marcu 2025 roku, a amerykańska agencja CISA wpisała ją na listę aktywnie wykorzystywanych luk miesiąc później.

Innymi słowy, brama była otwarta od dawna i każdy mógł przez nią wejść. Sysdig szacuje, że w sieci wciąż wisi około siedmiu tysięcy niezałatanych instancji Langflow. To dobra ilustracja starej prawdy: najgroźniejsze nie są ataki na nieznane podatności, tylko zaniedbane aktualizacje. Nowy jest tu sprawca, nie sposób wejścia.

Cały łańcuch ataku bez człowieka przy klawiaturze

Po przejęciu pierwszego serwera agent działał jak doświadczony operator, jednak znacznie szybciej. Dlatego Sysdig prześledził dwa odrębne cele: maszynę z Langflow jako przyczółek oraz produkcyjny serwer bazy danych jako właściwą zdobycz.

Od włamania do kradzieży kluczy

Na pierwszym serwerze agent zrobił rozpoznanie systemu, a potem zaczął przeczesywać środowisko w poszukiwaniu tego, co najcenniejsze. Szukał kluczy dostępu do usług chmurowych oraz do modeli AI, a także portfeli kryptowalut. Następnie zrzucił lokalną bazę danych, wszedł do wewnętrznego magazynu plików zabezpieczonego domyślnym, nigdy niezmienionym hasłem, i zostawił sobie furtkę na później. Wpisał do harmonogramu zadanie, które co pół godziny meldowało się na jego serwer. Dzięki temu mógł wracać, gdyby połączenie padło.

Szyfrowanie i zniszczenie bazy

Właściwy cios spadł jednak na bazę produkcyjną. Agent przejął system zarządzania konfiguracją, ponieważ podszył się pod administratora dzięki innej znanej luce i domyślnemu kluczowi, który producent od lat zaleca zmieniać. Następnie zaszyfrował ponad tysiąc trzysta elementów konfiguracji, usunął oryginalne tabele i zostawił żądanie okupu. Na koniec wydał polecenie skasowania najcenniejszych baz, opatrując je krótką notką: bazy o wysokiej wartości do skasowania, dane już skopiowane na zewnątrz. Sysdig zastrzega, że to była własna adnotacja agenta, a nie potwierdzony fakt wyprowadzenia danych. Mimo to ta beznamiętna notka mówi o charakterze zagrożenia więcej niż niejeden raport.

Skąd wiadomo, że to nie był człowiek

Dowody na autonomię agenta są zaskakująco przyziemne. Sysdig naliczył ponad sześćset osobnych fragmentów kodu użytych w czasie ataku, a wiele z nich nosiło komentarze w naturalnym języku. Model tłumaczył sam sobie, po co robi dany krok i dlaczego akurat ten cel jest ważniejszy od innego. Żaden doświadczony przestępca nie pisze takich objaśnień, bo tylko spowalniają robotę. Duży model językowy produkuje je odruchowo, bo tak został nauczony.

Najmocniejszy dowód to jednak scena naprawy błędu. Agent dodał konto administratora, ale logowanie się nie powiodło, ponieważ hasło zapisało się puste. Trzydzieści jeden sekund później pojawiła się poprawiona wersja: model sam ustalił, na czym polegał problem, zmienił sposób generowania hasła i zweryfikował, że tym razem wejście działa. Zrobił to bez żadnej podpowiedzi. Człowiek w tym czasie ledwo zdążyłby przeczytać komunikat o błędzie.

Pierwsza Misja AI · Kodożercy

Rozumiesz zagrożenia AI, gdy rozumiesz jak naprawdę działa

Kurs Pierwsza Misja AI ma dedykowaną lekcję o ciemnej stronie AI: halucynacje, deepfakes, manipulacja. Zanim zaczniesz się bać – zacznij rozumieć.

Poznaj pełny program →

Dlaczego ten atak jest mniej i bardziej groźny, niż brzmi

Zanim ktokolwiek ogłosi koniec świata, warto ostudzić emocje. Ten agent zachowywał się miejscami jak amator. Nota z żądaniem okupu podawała podręcznikowy adres bitcoinowy, znany z dokumentacji jako przykładowy, a kontakt mailowy nie pasował do żadnej znanej grupy przestępczej. Co gorsza dla samej ofiary, klucz szyfrujący został wygenerowany losowo, wypisany raz na ekran i nigdy nie zapisany. W praktyce oznacza to, że danych nie da się odzyskać nawet po zapłaceniu okupu, bo nikt, łącznie z samym agentem, nie zna już klucza. To nie jest dojrzała operacja gangu, tylko improwizacja modelu puszczonego luzem.

Z drugiej strony właśnie ta łatwość powinna niepokoić. Do tej pory taki łańcuch działań wymagał bowiem doświadczonego operatora i kilku godzin pracy. Teraz może go wykonać oprogramowanie, w dodatku w tempie maszyny. Sysdig i niezależni eksperci zwracają uwagę na jedno: skoro atak da się zautomatyzować, to napastnik może prowadzić ich wiele naraz. Próg wejścia do tego fachu właśnie mocno się obniżył. Podobne pytania o granice zaufania do narzędzi AI wracały już przy ukrytym kodzie w Claude Code, choć tam chodziło o śledzenie, a nie o atak.

Co to znaczy dla firm i jak się bronić

Dobra wiadomość jest taka, że obrona nie wymaga magii, tylko dyscypliny. Kluczowy jest ten sam nawyk, który powstrzymałby ten konkretny atak: aktualizowanie wystawionych do internetu narzędzi. Instancję Langflow z załataną luką ominąłby każdy agent, bo brama byłaby zamknięta. Do tego dochodzi kilka rzeczy, które Sysdig zaleca wprost. Nie trzymaj kluczy dostępu do chmury na serwerach, które orkiestrują AI. Zmieniaj domyślne hasła i klucze w systemach konfiguracji. Ogranicz połączenia wychodzące z serwerów, żeby przejęta maszyna nie mogła swobodnie gadać ze światem. Zasady bezpieczeństwa agentów AI opisywaliśmy szerzej przy okazji serwerów MCP i automatyzacji.

Jest w tym wszystkim pewien paradoksalny plus. Skoro agent opisuje w kodzie własne zamiary, to obrońca może te zamiary przeczytać. Model, który sam tłumaczy, co planuje zrobić, staje się łatwiejszy do wykrycia niż cichy, wprawny człowiek. Sysdig ujmuje to krótko: intencje napastnika stały się czytelne, więc warto to wykorzystać do obrony. Pełny opis techniczny kampanii znajdziesz w raporcie zespołu Sysdig, a szczegóły samej luki w bazie podatności NVD.

Podsumowanie

JADEPUFFER nie jest zapowiedzią cyfrowej apokalipsy, ale trudno go zbyć wzruszeniem ramion. Z jednej strony to atak niechlujny, po którym ofiara i tak straciła dane bezpowrotnie, bo agent zgubił własny klucz. Z drugiej to pierwszy raz, gdy widzimy, że oprogramowanie samodzielnie przechodzi całą ścieżkę włamywacza, poprawia swoje błędy w kilkadziesiąt sekund i robi to w prawdziwej sieci, nie w laboratorium. Dla większości firm wniosek jest zaskakująco zwyczajny. Ochroni je nie nowa magiczna technologia, lecz porządek: załatane serwery, zmienione domyślne hasła i pilnowanie, co wychodzi z własnej sieci. Napastnik zmienił się z człowieka w program, natomiast lista rzeczy, które trzeba było zrobić wcześniej, została ta sama.

Mateusz Wojdalski

Specjalista SEO i content marketingu w Devstock. Zajmuję się strategią treści, automatyzacją procesów marketingowych i wdrożeniami AI w codziennej pracy. Badam nowe narzędzia, adaptuję je do realnych zadań i piszę o tym, co faktycznie działa.