ИИ-агент сам зашифровал 1300 записей и написал записку с выкупом — но жертву выбирал человек
Sysdig назвал атаку JadePuffer первой автономной ransomware-кампанией ИИ — но человек всё равно выбирал жертву и готовил инфраструктуру. Разбираем, что реально произошло.
Sysdig на прошлой неделе объявил о первой в истории ransomware-атаке, которую провёл ИИ-агент без участия оператора. Заголовки разлетелись мгновенно. Потом выяснилось, что картина немного другая.
Что на самом деле сделал агент
Операция получила название JadePuffer. ИИ-агент проник на сервер через известную уязвимость в Langflow — популярном open-source инструменте для сборки LLM-приложений. Оттуда он добрался до production-сервера MySQL, эксплуатировал ещё одну известную брешь и получил права администратора.
Дальше агент зашифровал более 1300 конфигурационных записей, самостоятельно составил записку с требованием выкупа и оставил Bitcoin-адрес для оплаты. Один эпизод особенно показателен: провалившийся логин агент исправил за 31 секунду, попутно комментируя собственные действия на естественном языке прямо в коде — как будто вёл внутренний монолог.
Технически это действительно выглядит дико. Агент адаптировался к препятствиям, двигался по сети, принимал решения — всё без команд от оператора в реальном времени.
Где человек всё-таки остался в цепочке
Старший директор по исследованию угроз Sysdig Майкл Кларк уточнил детали в интервью CyberScoop в понедельник, 7 июля. Человек выбрал жертву, развернул командно-контрольный сервер и staging-сервер для хранения украденных данных. Учётные данные для взлома базы агент не добывал сам — их получили заранее, в ходе отдельной компрометации, и передали в операцию готовыми.
Это не опровергает оригинальный тезис Sysdig: техническое исполнение атаки действительно было автономным. Но формулировки «без какого-либо контроля со стороны человека» и «никого за клавиатурой» создавали впечатление полной автономии — которой не было.
Какую модель использовали — неизвестно
Отдельная история с моделями. В первых отчётах Кларк упомянул, что в атаке «использовались несколько моделей» — и перечислил найденные API-ключи OpenAI, Anthropic, DeepSeek и Gemini. Это породило версию о том, что разные этапы взлома обслуживали разные LLM.
Кларк пояснил TechCrunch: агент просто собирал всё ценное на скомпрометированном хосте — API-ключи провайдеров, облачные credentials, криптокошельки, конфиги баз данных. Ключи оказались частью добычи, а не инструментом атаки. Какая именно модель управляла JadePuffer, Sysdig установить не смог — системный промпт и конфигурация агента остались недоступны.
Исследователь Microsoft Джефф Макдональд высказал на LinkedIn гипотезу, что за атакой стоит open-weight модель с отключёнными защитными слоями, а не frontier-модель вроде GPT или Claude. По его опыту red-teaming, защита крупных лабораторий держится достаточно хорошо. Sysdig эту версию не подтвердил, но и не опроверг.
Почему это важно, даже если атака не была полностью автономной
Макдональд также предупредил, что ransomware-кампании теперь ограничены прежде всего бюджетом атакующего, а не человеческими ресурсами — и теоретически возможны «тысячи или десятки тысяч одновременных кампаний».
Кларк относится к этому сценарию осторожнее. Если человек по-прежнему должен выбирать каждую жертву, готовить инфраструктуру и добывать учётные данные для каждой операции — это узкое место, которое сдерживает масштабирование. Но он же признаёт: стоимость запуска агента настолько низка, что Sysdig ожидает появления новых жертв той же операции.
Langflow, через который агент вошёл в систему, — это не экзотический инструмент. Его используют разработчики по всему миру для прототипирования LLM-приложений. Уязвимость была известна, патч существовал — агент просто нашёл непропатченный сервер.
Что это меняет для практики прямо сейчас
Для разработчиков и DevOps: JadePuffer — конкретный аргумент в пользу того, чтобы не откладывать обновления Langflow и других open-source LLM-инструментов. Известные уязвимости в production-окружениях теперь могут эксплуатироваться без живого хакера за экраном.
Для команд безопасности: скорость реакции агента (31 секунда на исправление ошибки) означает, что традиционные окна обнаружения могут не сработать. Агент не устаёт, не делает пауз и комментирует собственные действия — что, как ни странно, оставляет больше артефактов для анализа.
Главный вывод пока не про автономность, а про порог входа. Если кто-то уже украл credentials и готов потратить несколько долларов на inference — техническое исполнение атаки теперь можно делегировать агенту. Это меняет экономику киберпреступности быстрее, чем меняются заголовки о ней.