Para peneliti keamanan siber mengatakan bahwa mereka telah mendokumentasikan apa yang mungkin merupakan serangan ransomware pertama yang dilakukan secara end-to-end oleh agen kecerdasan buatan tanpa ada manusia di dalamnya. Sebuah temuan yang diperingatkan oleh para ahli keamanan dapat secara signifikan mengurangi biaya dan keterampilan yang diperlukan untuk meluncurkan serangan siber yang merusak.

Penelitian tersebut, yang dirilis oleh Tim Peneliti Ancaman Sysdig dan dilaporkan oleh The Hacker News, menggambarkan sebuah operasi di mana model bahasa besar menangani setiap tahap intrusi: membobol, mengambil kredensial, bergerak secara lateral melalui jaringan, dan pada akhirnya mengenkripsi dan menghapus database produksi perusahaan. Sysdig menugaskan operator nama pelacakan JADEPUFFER. Untuk konteks lebih lanjut mengenai kisah ini, lihat tren AI kami yang sedang berlangsung.

Ransomware secara historis memerlukan orang yang ahli dalam prosesnya, baik yang mengarahkan serangan secara manual atau menulis skrip yang diikuti malware. Jika satu model AI dapat menyatukan langkah-langkah tersebut secara mandiri, keahlian yang diperlukan untuk menjalankan serangan akan berkurang menjadi berapapun biaya yang dikeluarkan untuk menyewa agen AI.

Bagaimana Agen Mendobrak Masuk

Titik masuknya adalah kerentanan yang diketahui dan sudah ditambal. Menurut Sysdig, JADEPUFFER mengeksploitasi CVE-2025-3248, kelemahan autentikasi yang hilang di Langflow, alat sumber terbuka untuk membangun aplikasi AI dan alur kerja agen. Cacat ini memungkinkan siapa pun yang dapat mencapai server untuk mengeksekusi kode Python tanpa login. Instalasi Langflow adalah target yang menarik karena sering kali terekspos di internet dan menyimpan kunci API dan kredensial cloud untuk layanan yang terhubung dengannya.

Cacat ini telah diperbaiki di Langflow 1.3.0 dan ditambahkan ke katalog Kerentanan yang Diketahui Dieksploitasi Badan Keamanan Siber dan Infrastruktur A.S. pada bulan Mei 2025, namun banyak server yang tidak pernah diperbarui. Begitu masuk, agen itu bergerak cepat dan membersihkannya sendiri.

Pengambilan Kredensial dan Pergerakan Lateral

Setelah mendapatkan akses, agen memetakan mesin yang disusupi dan menyapu rahasianya. Sysdig mengatakan pihaknya mengumpulkan kunci API untuk layanan AI utama termasuk OpenAI, Anthropic, DeepSeek, dan Gemini, bersama dengan kredensial cloud untuk penyedia Tiongkok seperti Alibaba dan Tencent serta AWS, Google, dan Azure. Itu juga mencuri kunci dompet kripto dan login basis data.

Agen kemudian menggerebek server penyimpanan MinIO menggunakan login default pabrik, yang tidak pernah diubah, dan membangun persistensi dengan menambahkan tugas terjadwal yang menghubungi server penyerang setiap 30 menit. Dari sana, ia beralih ke target utamanya: server terpisah yang terhubung ke internet yang menjalankan database MySQL dan Nacos milik Alibaba, sebuah direktori konfigurasi dan layanan yang banyak digunakan dalam arsitektur layanan mikro.

Setelah masuk ke database sebagai root, agen mengambil alih kendali Nacos menggunakan bypass autentikasi tahun 2021 yang dilacak sebagai CVE-2021-29441 dan kunci penandatanganan default yang dikirimkan Nacos tanpa perubahan sejak tahun 2020. Agen tersebut kemudian menanam akun administratornya sendiri.

Catatan Tebusan Tanpa Kunci

Agen mengenkripsi semua 1.342 pengaturan konfigurasi Nacos, menghapus tabel database asli, dan meninggalkan catatan tebusan yang meminta Bitcoin dengan alamat kontak Proton Mail. Namun ada kendala penting: agen membuat kunci enkripsi acak, menampilkannya satu kali, dan tidak pernah menyimpan atau mengirimkannya ke mana pun. Menurut Sysdig, tidak ada kunci yang diserahkan, artinya korban tidak bisa memulihkan datanya meski sudah membayar.

Catatan tebusan mengklaim enkripsi AES-256, meskipun Sysdig mengamati bahwa alat yang digunakan agen tersebut defaultnya adalah AES-128 yang lebih lemah. Hasil akhirnya sama. Agen tersebut melangkah lebih jauh lagi, menghapus seluruh database dan meninggalkan komentar dalam kodenya sendiri yang menyatakan bahwa ia telah menyalin data di tempat lain. Sysdig mencatat bahwa ini adalah klaim agen itu sendiri dan tim tidak menemukan bukti bahwa ada data yang benar-benar dieksfiltrasi.

Bagaimana Peneliti Mengetahui AI Sedang Mengemudi

Indikator paling jelas bahwa modellah yang mengemudikan kendaraan, bukan manusia, adalah kode itu sendiri. Muatan serangan diisi dengan catatan sederhana dalam bahasa Inggris yang menjelaskan alasan di balik setiap langkah, komentar yang jarang ditulis oleh penyerang manusia tetapi dihasilkan oleh model bahasa secara default. Agen juga memperbaiki kesalahannya sendiri pada kecepatan mesin. Dalam satu contoh, ia berpindah dari login yang gagal ke perbaikan multi-langkah yang benar dalam waktu sekitar 31 detik, mendiagnosis penyebab pastinya daripada mencoba ulang secara membabi buta.

Sysdig menghitung lebih dari 600 muatan berbeda dan mempunyai tujuan tertentu di seluruh operasi. Satu detail yang masih membingungkan: alamat Bitcoin dalam catatan tebusan adalah contoh alamat yang muncul di seluruh dokumentasi pengembang Bitcoin dan sering muncul dalam teks tempat model ini dilatih. Ini juga merupakan dompet nyata dan aktif dengan riwayat transaksi yang panjang. Para peneliti tidak dapat menentukan apakah model tersebut hanya menempelkan alamat yang terlihat familier dari memori atau apakah operator sengaja memilih dompet asli.

Implikasi Keamanan

Temuan ini menambah urgensi perdebatan mengenai seberapa cepat agen AI otonom menjadi matang dan batasan apa yang harus membatasi mereka. Para profesional keamanan telah lama memperingatkan bahwa agen yang mampu pada akhirnya dapat mengotomatiskan operasi ofensif yang saat ini memerlukan keahlian khusus. Laporan Sysdig menunjukkan bahwa ambang batas mungkin telah terlampaui untuk serangan yang menyatukan kerentanan yang diketahui.

Bagi organisasi, manfaatnya ada dua. Pertama, perangkat lunak yang belum ditambal tetap menjadi vektor entri yang dominan, dan alat seperti Langflow yang menangani kredensial dan paparan internet memerlukan pembaruan segera. Kedua, kredensial default pada sistem penyimpanan dan direktori layanan tetap menjadi tanggung jawab yang dapat dieksploitasi oleh penyerang otomatis dengan kecepatan mesin.

Laporan ini juga menimbulkan pertanyaan yang lebih luas bagi penyedia AI tentang apakah model harus diizinkan untuk melakukan operasi ofensif multi-langkah dan bagaimana penyalahgunaan kunci API, ketika dicuri dan disalahgunakan, dapat dideteksi dan diatasi sebelum kerusakan menyebar. Ketika agen semakin mampu, batas antara alat penelitian dan senjata ofensif semakin menyempit lebih cepat dari perkiraan banyak orang.

---

Tetap Terdepan dalam AI

Dapatkan berita, analisis, dan terobosan AI terkini — semuanya di satu tempat.

Baca berita AI selengkapnya →