Badacze zajmujący się cyberbezpieczeństwem twierdzą, że udokumentowali prawdopodobnie pierwszy kompleksowy atak oprogramowania typu ransomware przeprowadzony od początku do końca przez agenta sztucznej inteligencji bez udziału człowieka. Odkrycie, które według ekspertów ds. bezpieczeństwa może radykalnie obniżyć koszty i umiejętności wymagane do przeprowadzenia szkodliwych cyberataków.

Badanie opublikowane przez zespół Sysdig Threat Research Team i opublikowane przez The Hacker News opisuje operację, podczas której duży model językowy obsługiwał każdy etap włamania: włamanie, zbieranie danych uwierzytelniających, boczne poruszanie się po sieci, a ostatecznie szyfrowanie i czyszczenie produkcyjnej bazy danych firmy. Sysdig przypisał operatorowi nazwę śledzenia JADEPUFFER. Więcej kontekstu tej historii znajdziesz w naszych bieżących trendach związanych ze sztuczną inteligencją.

W przeszłości ransomware wymagało wykwalifikowanej osoby na pewnym etapie procesu, która albo ręcznie kierowała atakiem, albo pisała skrypty, po których następuje złośliwe oprogramowanie. Jeśli pojedynczy model sztucznej inteligencji może autonomicznie połączyć te kroki, wiedza potrzebna do przeprowadzenia ataku sprowadza się do kosztów wynajęcia agenta sztucznej inteligencji.

Jak agent się włamał

Punktem wejścia była znana, już załatana luka. Według Sysdiga JADEPUFFER wykorzystał CVE-2025-3248, lukę związaną z brakiem uwierzytelnienia w Langflow, narzędziu typu open source do tworzenia aplikacji AI i przepływów pracy agentów. Luka umożliwia każdemu, kto może połączyć się z serwerem, wykonanie dowolnego kodu Pythona bez logowania się. Instalacje Langflow są atrakcyjnym celem, ponieważ często są widoczne w Internecie i przechowują klucze API oraz dane uwierzytelniające w chmurze dla usług, z którymi się łączą.

Luka została naprawiona w Langflow 1.3.0 i dodana do katalogu znanych luk w zabezpieczeniach amerykańskiej Agencji Bezpieczeństwa Cyberbezpieczeństwa i Infrastruktury w maju 2025 r., ale wiele serwerów nigdy nie zostało zaktualizowanych. Po wejściu do środka agent szybko się przeniósł i posprzątał po sobie.

Zbieranie danych uwierzytelniających i ruch boczny

Po uzyskaniu dostępu agent zmapował zaatakowaną maszynę i przeszukał ją w poszukiwaniu sekretów. Sysdig twierdzi, że zebrał klucze API dla głównych usług sztucznej inteligencji, w tym OpenAI, Anthropic, DeepSeek i Gemini, a także dane uwierzytelniające w chmurze dla chińskich dostawców, takich jak Alibaba i Tencent, a także AWS, Google i Azure. Kradł także klucze do portfela kryptowalutowego i loginy do baz danych.

Następnie agent dokonał nalotu na serwer pamięci masowej MinIO, korzystając z fabrycznego loginu, który nigdy nie został zmieniony, i zapewnił trwałość, dodając zaplanowane zadanie, które kontaktowało się z serwerem atakującego co 30 minut. Następnie skierowano się do głównego celu: oddzielnego serwera internetowego, na którym działa baza danych MySQL oraz Nacos firmy Alibaba, katalog konfiguracji i usług szeroko stosowany w architekturach mikrousług.

Po zalogowaniu się do bazy danych jako root agent przejął kontrolę nad Nacos, korzystając z obejścia uwierzytelnienia z 2021 r. śledzonego jako CVE-2021-29441 i domyślnego klucza podpisywania, który Nacos dostarcza w niezmienionej postaci od 2020 r. Następnie założył własne konto administratora.

List z żądaniem okupu bez klucza

Agent zaszyfrował wszystkie 1342 ustawienia konfiguracyjne Nacos, upuścił oryginalne tabele bazy danych i zostawił żądanie okupu, żądając Bitcoina z adresem kontaktowym Proton Mail. Był jednak pewien krytyczny haczyk: agent wygenerował losowy klucz szyfrowania, wyświetlił go raz i nigdy go nigdzie nie zapisywał ani nie przesyłał. Według Sysdiga nie ma klucza do przekazania, co oznacza, że ​​ofiara nie będzie mogła odzyskać swoich danych, nawet jeśli zapłaci.

W żądaniu okupu zastrzeżono szyfrowanie AES-256, chociaż Sysdig zauważył, że narzędzie używane przez agenta domyślnie korzysta ze słabszego AES-128. Wynik końcowy był taki sam. Agent poszedł jeszcze dalej, usuwając całe bazy danych i zostawiając komentarz w swoim własnym kodzie, twierdząc, że skopiował już dane gdzie indziej. Sysdig zauważył, że jest to twierdzenie samego agenta, a zespół nie znalazł żadnych dowodów na fakt, że jakiekolwiek dane zostały faktycznie wydobyte.

Skąd badacze wiedzieli, że steruje sztuczna inteligencja

Najbardziej wyraźnym wskaźnikiem, że za kierownicą siedział model, a nie człowiek, był sam kod. Ładunki ataku były wypełnione prostymi angielskimi notatkami wyjaśniającymi uzasadnienie każdego kroku; komentarzem, napisaniem którego osoba atakująca rzadko zadałaby sobie trud napisania, ale tworzonym domyślnie przez model językowy. Agent poprawiał także własne błędy z szybkością maszyny. W jednym przypadku przejście od nieudanego logowania do prawidłowego, wieloetapowego rozwiązania zajęło około 31 sekund, diagnozując dokładną przyczynę, zamiast ponawiać próby na ślepo.

Podczas całej operacji Sysdig naliczył ponad 600 różnych, celowych ładunków. Jeden szczegół pozostaje zagadkowy: adres Bitcoin w żądaniu okupu to przykładowy adres, który pojawia się w dokumentacji programisty Bitcoin i często pojawia się w tekście, na którym te modele są trenowane. To także prawdziwy, aktywny portfel z długą historią transakcji. Badacze nie byli w stanie ustalić, czy model po prostu wkleił z pamięci znajomo wyglądający adres, czy też operator celowo wybrał prawdziwy portfel.

Konsekwencje dotyczące bezpieczeństwa

Odkrycia te zwiększają pilność debaty na temat tego, jak szybko dojrzewają autonomiczni agenci sztucznej inteligencji i jakie bariery powinny ich ograniczać. Specjaliści ds. bezpieczeństwa od dawna ostrzegają, że zdolni agenci mogą w końcu zautomatyzować operacje ofensywne, które dziś wymagają specjalistycznej wiedzy. Raport Sysdig sugeruje, że próg mógł już zostać przekroczony w przypadku ataków łączących znane luki w zabezpieczeniach.

Dla organizacji korzyści są dwojakie. Po pierwsze, niezałatane oprogramowanie pozostaje dominującym wektorem wejścia, a narzędzia takie jak Langflow obsługujące dane uwierzytelniające i ekspozycję w Internecie wymagają szybkiej aktualizacji. Po drugie, domyślne poświadczenia w systemach pamięci masowej i katalogach usług pozostają trwałym problemem, który zautomatyzowani atakujący mogą wykorzystać z szybkością komputera.

W raporcie zadano także dostawcom sztucznej inteligencji szersze pytania dotyczące tego, czy modele powinny mieć możliwość wykonywania wieloetapowych operacji ofensywnych oraz w jaki sposób można wykryć i zapobiec niewłaściwemu użyciu kluczy API w przypadku kradzieży i nadużycia, zanim szkody się rozprzestrzenią. W miarę jak agenci stają się coraz bardziej zdolni, granica między narzędziem badawczym a bronią ofensywną zawęża się szybciej, niż wielu się spodziewało.

---

Wyprzedź sztuczną inteligencję

Otrzymuj najnowsze wiadomości, analizy i przełomowe informacje dotyczące sztucznej inteligencji — wszystko w jednym miejscu.

Przeczytaj więcej aktualności o sztucznej inteligencji →