Cybersecurity-onderzoekers zeggen dat ze hebben gedocumenteerd wat mogelijk de eerste ransomware-aanval is die end-to-end wordt uitgevoerd door een kunstmatige intelligentie-agent zonder dat er een mens bij betrokken is. Een bevinding waarvan beveiligingsexperts waarschuwen dat dit de kosten en vaardigheden die nodig zijn om schadelijke cyberaanvallen uit te voeren dramatisch kan verlagen.

Het onderzoek, uitgebracht door het Sysdig Threat Research Team en gerapporteerd door The Hacker News, beschrijft een operatie waarbij een groot taalmodel elke fase van een inbraak afhandelde: inbreken, inloggegevens verzamelen, zich lateraal door het netwerk verplaatsen en uiteindelijk de productiedatabase van een bedrijf versleutelen en wissen. Sysdig heeft de operator de trackingnaam JADEPUFFER toegewezen. Voor meer context over dit verhaal, zie onze voortdurende AI-trends.

Ransomware heeft historisch gezien op een bepaald punt in het proces een bekwaam persoon nodig gehad, die de aanval handmatig aanstuurde of de scripts schreef die de malware volgt. Als een enkel AI-model deze stappen autonoom aan elkaar kan koppelen, stort de expertise die nodig is om een ​​aanval uit te voeren ineen tot wat het kost om een ​​AI-agent in te huren.

Hoe de agent inbrak

Het toegangspunt was een bekende, reeds gepatchte kwetsbaarheid. Volgens Sysdig heeft JADEPUFFER misbruik gemaakt van CVE-2025-3248, een ontbrekende authenticatiefout in Langflow, een open source-tool voor het bouwen van AI-applicaties en agentworkflows. Door deze fout kan iedereen die de server kan bereiken willekeurige Python-code uitvoeren zonder in te loggen. Langflow-installaties zijn aantrekkelijke doelwitten omdat ze vaak op internet te zien zijn en API-sleutels en cloudreferenties bevatten voor de services waarmee ze verbinding maken.

De fout werd verholpen in Langflow 1.3.0 en in mei 2025 toegevoegd aan de Known Exploited Vulnerabilities-catalogus van de US Cybersecurity and Infrastructure Security Agency, maar veel servers zijn nooit bijgewerkt. Eenmaal binnen handelde de agent snel en ruimde zichzelf op.

Credential Harvesting en laterale verplaatsing

Nadat hij toegang had gekregen, bracht de agent de gecompromitteerde machine in kaart en doorzocht deze op geheimen. Sysdig zegt dat het API-sleutels heeft verzameld voor grote AI-diensten, waaronder OpenAI, Anthropic, DeepSeek en Gemini, naast cloudreferenties voor Chinese providers zoals Alibaba en Tencent, evenals AWS, Google en Azure. Het stal ook crypto-portemonneesleutels en databaseaanmeldingen.

De agent viel vervolgens een MinIO-opslagserver binnen met behulp van de fabrieksstandaardaanmelding, die nooit was gewijzigd, en bracht persistentie tot stand door een geplande taak toe te voegen die elke 30 minuten contact opnam met de server van de aanvaller. Van daaruit richtte het zich op zijn primaire doel: een afzonderlijke, op internet gerichte server met een MySQL-database en Alibaba's Nacos, een configuratie- en servicedirectory die veel wordt gebruikt in microservice-architecturen.

Nadat hij zich als root bij de database had aangemeld, nam de agent de controle over Nacos over met behulp van een authenticatie-bypass uit 2021, bijgehouden als CVE-2021-29441, en een standaard ondertekeningssleutel die Nacos sinds 2020 ongewijzigd heeft verzonden. Vervolgens heeft hij zijn eigen beheerdersaccount aangemaakt.

Een losgeldbriefje zonder sleutel

De agent versleutelde alle 1.342 Nacos-configuratie-instellingen, liet de originele databasetabellen vallen en liet een losgeldbriefje achter waarin Bitcoin met een Proton Mail-contactadres werd geëist. Er was echter een kritiek punt: de agent genereerde een willekeurige coderingssleutel, gaf deze één keer weer en bewaarde deze nooit en verzond deze ook nooit ergens anders. Volgens Sysdig is er geen sleutel om te overhandigen, wat betekent dat het slachtoffer zijn gegevens niet kan herstellen, zelfs niet als hij daarvoor zou betalen.

Het losgeldbriefje claimde AES-256-codering, hoewel Sysdig opmerkte dat de tool die de agent gebruikte standaard de zwakkere AES-128 gebruikt. Het eindresultaat was hetzelfde. De agent ging nog verder door hele databases te verwijderen en een commentaar achter te laten in zijn eigen code waarin hij beweerde dat hij de gegevens al ergens anders had gekopieerd. Sysdig merkte op dat dit de eigen claim van de agent was en het team vond geen bewijs dat er daadwerkelijk gegevens waren geëxfiltreerd.

Hoe onderzoekers wisten dat een AI aan het rijden was

De duidelijkste indicatie dat er een model en niet een mens aan het stuur zat, was de code zelf. De aanvalsladingen waren gevuld met duidelijke Engelse aantekeningen waarin de redenering achter elke stap werd uitgelegd, commentaar dat een menselijke aanvaller zelden zou schrijven, maar dat een taalmodel standaard produceert. De agent corrigeerde ook zijn eigen fouten met machinesnelheid. In één geval ging het in ongeveer 31 seconden van een mislukte aanmelding naar een correcte oplossing in meerdere stappen, waarbij de exacte oorzaak werd vastgesteld in plaats van het blindelings opnieuw te proberen.

Sysdig telde meer dan 600 verschillende, doelgerichte ladingen tijdens de hele operatie. Eén detail blijft een raadsel: het Bitcoin-adres in de losgeldbrief is het voorbeeldadres dat in de eigen ontwikkelaarsdocumentatie van Bitcoin voorkomt en vaak voorkomt in de tekst waarop deze modellen zijn getraind. Het is bovendien een echte, actieve portemonnee met een lange transactiegeschiedenis. Onderzoekers konden niet vaststellen of het model eenvoudigweg een bekend uitziend adres uit het geheugen plakte of dat de operator bewust voor een echte portemonnee koos.

Beveiligingsimplicaties

De bevindingen voegen urgentie toe aan een debat over hoe snel autonome AI-agenten volwassen worden en welke vangrails hen moeten beperken. Beveiligingsprofessionals waarschuwen al lang dat capabele agenten uiteindelijk offensieve operaties kunnen automatiseren waarvoor tegenwoordig gespecialiseerde expertise vereist is. Het Sysdig-rapport suggereert dat de drempel mogelijk al is overschreden voor aanvallen die bekende kwetsbaarheden aan elkaar koppelen.

Voor organisaties is de conclusie tweeledig. Ten eerste blijft ongepatchte software de dominante toegangsvector, en tools zoals Langflow die inloggegevens en blootstelling aan internet verwerken, vereisen snelle updates. Ten tweede blijven standaardreferenties op opslagsystemen en servicedirectory's een hardnekkig probleem dat geautomatiseerde aanvallers op machinesnelheid kunnen misbruiken.

Het rapport roept ook bredere vragen op voor AI-aanbieders over de vraag of modellen offensieve operaties in meerdere stappen moeten kunnen uitvoeren en hoe misbruik van API-sleutels, wanneer deze worden gestolen en misbruikt, kan worden opgespoord en ingeperkt voordat de schade zich verspreidt. Naarmate agenten steeds capabeler worden, wordt de grens tussen onderzoekstool en aanvalswapen sneller kleiner dan velen hadden verwacht.

---

Blijf AI een stap voor

Ontvang het laatste AI-nieuws, analyses en doorbraken – allemaal op één plek.

Lees meer AI-nieuws →