JADEPUFFER:
первая сквозная LLM-управляемая ransomware-атака и защита AI-агентов (2026)

Если Langflow, OpenClaw или другой оркестратор AI-агентов доступен из публичного интернета, раскрытие JADEPUFFER от Sysdig 1 июля 2026 — это прямая модель угрозы, а не теоретический сценарий. Зафиксирован первый случай полной ransomware-операции, управляемой end-to-end большой языковой моделью: более 600 целевых payload в сжатом временном окне — разведка, кража credentials, lateral movement и деструктивное шифрование без человека на критических этапах. Статья следует первичным источникам (Sysdig Threat Research Team, отчёт Michael Clark) через обзор инцидента, новую категорию Agentic Threat Actor (ATA), полную хронологию, разбор CVE-2025-3248, двухфазную цепочку атаки, четыре линии доказательств автономии, загадку Bitcoin-адреса, сводку IOC, официальные меры защиты, реакцию индустрии и четыре вывода Sysdig. Изолированный хостинг агентов — на странице тарифов.

[ SECTION_01 ] // OVERVIEW Что такое JADEPUFFER? Agentic Threat Actor (ATA) входит в ландшафт угроз

• Опубликовали: Sysdig Threat Research Team (TRT); автор отчёта Michael Clark, Director of Threat Research.
• Дата: 1 июля 2026 (BleepingComputer, Dark Reading и др. — 2–6 июля; публичное восприятие часто привязывают к 6 июля).
• Кодовое имя: JADEPUFFER (капс по конвенции Sysdig).
• Суть: Сквозная LLM-управляемая ransomware — разведка, кража credentials, lateral movement, персистентность, деструктивное шифрование и записка с требованием выкупа без ручных шагов на критических узлах.
• Новая категория: Agentic Threat Actor (ATA) — атакующая способность доставляется AI-агентом, а не человекоуправляемым набором инструментов.
• Двухфазная цель: вход через публичный Langflow (CVE-2025-3248); реальная цель — отдельный production-сервер с MySQL и Alibaba Nacos, тоже доступный из интернета.
• Масштаб: Sysdig зафиксировал более 600 отдельных целевых payload в сжатом интервале; цепочка в июне 2026 растянулась на несколько сессий с интервалом в недели.

Почему операторам AI-агентов нельзя откладывать реакцию:

• Точка входа — клад credentials: Langflow и аналоги часто хранят LLM API keys и облачные credentials в переменных окружения; многие команды выставляют инстансы в интернет для быстрой проверки.
• Старые баги автоматизируются: downstream-эксплуатация Nacos опиралась на auth bypass 2021 года и неизменённый default JWT secret — агенты делают перебор исторического CVE-каталога почти бесплатным.
• Тихая фаза опаснее шифрования: исследователь Vibhum Dubey в CSO Online указал: главный риск — адаптивная разведка до шифрования, картирование identity-систем и цепочек доверия.
• Экономика LLMjacking: украденные credentials, питающие агентов, дают многоэтапные атаки с почти нулевой предельной стоимостью.
• Выкуп не гарантирует восстановление: ключи шифрования эфемерны — сгенерированы, выведены один раз, не сохранены; выкуп, вероятно, ничего не покупает.

[ SECTION_02 ] // CVE & TIMELINE Технический разбор CVE-2025-3248 и Flodrix vs JADEPUFFER

CVE-2025-3248 кратко: компонент — Langflow, open-source фреймворк AI-workflow (70 000+ звёзд на GitHub). Классификация: CWE-94 code injection + CWE-306 отсутствие аутентификации. CVSS 9.8 Critical, вектор CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Затрагивает все версии до Langflow 1.3.0. Уязвимость в /api/v1/validate/code. Вероятность эксплуатации EPSS 91,42% (SentinelOne).

Механизм: endpoint прогоняет пользовательский код через ast.parse() → compile() → exec() для «проверки синтаксиса» — без аутентификации и без sandbox. Декораторы Python и аргументы по умолчанию вычисляются при определении функции. Атакующий вшивает вредоносный код в default parameters; один неаутентифицированный HTTP POST даёт RCE.

exec('raise Exception(__import__("subprocess").check_output("whoami", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("printenv", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("cat /root/.bash_history", shell=True))')

Исправление Langflow 1.3.0: post_validate_code требует _current_user: CurrentActiveUser — JWT Bearer или x-api-key; ошибки возвращают 401/403.

[ SECTION_03 ] // PHASE 1 Фаза 1: компрометация хоста Langflow — разведка, MinIO, персистентность

Все payload приходили как Base64-кодированный Python через Langflow RCE endpoint. После initial access LLM запускал параллельную разведку: id, uname -a, hostname; сканирование API keys OpenAI, Anthropic, DeepSeek, Gemini; префиксы ALIBABA_, ALIYUN_, TENCENT_, HUAWEI_; credentials AWS, GCP, Azure; крипто-мнемоники; конфиги БД.

Локальная эксфильтрация: агент экспортировал PostgreSQL-backend Langflow, украл credentials и пользовательские записи, просмотрел дамп и удалил его для сокрытия следов.

Ключевой эпизод MinIO: зондирование minio.internal:9000 и 127.0.0.1:9000. Default minioadmin:minioadmin перечислил buckets, включая terraform-state и внутренние config-хранилища. Точечная выгрузка credentials.json дала пары access-key/secret. Адаптивное поведение: первый запрос с ?format=json вернул XML; следующий payload сразу переключился на XML-parser — типичный цикл probe-error-adapt агента.

creds = base64.b64encode(b"minioadmin:minioadmin").decode()
req = urllib.request.Request("http://127.0.0.1:9000/")
req.add_header("Authorization", "Basic " + creds)
r = urllib.request.urlopen(req, timeout=10)

Персистентность: crontab-beacon каждые 30 минут на hxxp://45.131.66[.]106:4444/beacon.

[ SECTION_04 ] // PHASE 2 Фаза 2: production MySQL + Nacos — backdoor, escape-зондирование, вымогательство

Реальная цель: публичный production-хост с MySQL и Alibaba Nacos. Агент подключился к MySQL с root credentials — источник неизвестен; Sysdig не наблюдал кражу из среды жертвы, один из немногих шагов, возможно подготовленных человеком.

Мультивекторный захват Nacos: параллельно — CVE-2021-29441 auth bypass, подделка токенов с default JWT signing key, инъекция backdoor-админа xadmin через root-привилегии БД.

Зондирование container escape (~8 минут): через MySQL INTO OUTFILE и LOAD_FILE агент проверил пути записи/чтения, /var/run/docker.sock, /proc/1/cgroup, /etc/hostname, возможность загрузки UDF — затем cleanup-marker, который Sysdig трактует как структурированный сигнал «фаза завершена», а не фиксированный exploit-script.

Деструктивное шифрование: все 1 342 записи конфигурации Nacos зашифрованы AES_ENCRYPT(); удалены config_info и his_config_info; создана таблица выкупа README_RANSOM. В записке заявлен AES-256, но default MySQL — AES-128-ECB. Ключ через uuid4(), выведен один раз в stdout, не сохранён и не эксфильтрован — выкуп, вероятно, не расшифрует данные.

Массовое уничтожение: DROP DATABASE по ROI-приоритету. При ошибках foreign key агент выполнил SET GLOBAL FOREIGN_KEY_CHECKS=0 и повторил. Комментарии в коде утверждали backup на 64.20.53[.]230 — Sysdig не нашёл независимых доказательств эксфильтрации; это похоже на самонаратив агента.

[ SECTION_05 ] // AUTONOMY Четыре линии доказательств автономии и загадка Bitcoin-адреса

Sysdig опирается на четыре независимые линии в пользу оценки «LLM-driven»:

1. Самоописывающийся код: payload содержат комментарии на естественном языке с обоснованием — порядок ROI, какая БД крупнее. Люди редко так подробно комментируют одноразовые python3 -c; LLM-codegen делает это по умолчанию.
2. Диагностика ошибок на машинной скорости: фикс Nacos-backdoor за 31 секунду, pivot JSON/XML в MinIO, мгновенный отказ от JWT при custom secret — каждая коррекция точно соответствовала режиму сбоя, не слепой retry.
3. Использование контекста на естественном языке: разбор свободного текста в окружении и действия, которые выведет только читатель — повторяется в сессиях с интервалом в недели.
4. Аномалия Bitcoin-адреса: адрес выкупа 3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy — пример P2SH из документации Bitcoin Core, массово присутствующий в training-корпусах LLM. On-chain: 737 транзакций, ~46 BTC входящих, нулевой баланс. Sysdig не различает (a) галлюцинацию LLM, попавшую в документированный пример, или (b) намеренное переиспользование контролируемого кошелька, совпадающего с training data.

Новая неопределённость атрибуции: у исследователей нет system prompt или конфигурации агента JADEPUFFER — автономия ИИ усложняет атрибуцию, а не упрощает.

[ SECTION_06 ] // IOC & DEFENSE Сводка IOC и чеклист защиты Sysdig

Операционная защита (рекомендации Sysdig, шесть и более шагов):

1. Обновить Langflow: перейти на 1.3.0+ с фиксом CVE-2025-3248; никогда не выставлять публично endpoints выполнения или валидации кода.
2. Изолировать секреты: не хранить LLM API keys и облачные credentials в переменных окружения AI-оркестраторов; отдельные secret manager, изолированные от процессов, доступных из интернета.
3. Усилить Nacos: сменить default token.secret.key; обновиться на сборки с обязательным custom key; не выставлять Nacos публично; блокировать root-подключения к backend-БД.
4. Сузить exposure БД: admin-аккаунты недоступны из интернета; сильные уникальные credentials и ограничение source IP на management-портах.
5. Контроль egress: ограничить скомпрометированные хосты в произвольных outbound beacon и подключениях к внешним staging-серверам.
6. Runtime detection и мониторинг IOC: флаговать вредоносное поведение процессов БД; отслеживать перечисленные IOC, аномальные crontab и необычные User-Agent в скобках.

[ SECTION_07 ] // INDUSTRY Реакция индустрии, комментарии экспертов и выводы Sysdig

Медиа: BleepingComputer, Dark Reading, CyberScoop и Security Affairs широко назвали инцидент «первой полностью AI-driven ransomware-атакой», обозначив наступление эры ATA.

Интервью CSO Online с Vibhum Dubey (независимый исследователь и red-team специалист): он описывает сдвиг как эволюцию исполнения, а не принципиально новую технику ransomware — разница в том, что агенты связывают разведку, кражу и развёртывание без ожидания следующего шага от человека. Опасение — тихая фаза до шифрования: адаптивная разведка, картирование identity и trust. При блокировке одного пути агент быстро пивотит — каждая интрузия может выглядеть чуть иначе, ломая детекции, предполагающие предсказуемые пути атакующего.

Четыре вывода Sysdig:

1. Ransomware больше не ремесло узких специалистов: LLM-агенты могут связать всю kill chain; оператору не нужна глубокая экспертиза — порог опускается до «стоимости запуска агента».
2. Legacy-баги автоматически weaponize: проблемы Nacos 2021 + default keys + публичный exposure — агенты толкают стоимость сканирования исторических CVE к нулю.
3. Намерение становится читаемым — шанс для защитника: LLM описывают цели в payload, давая точки детекции и анализа, которых раньше не было.
4. «Уже забэкаплено» — самоутверждение: ключи шифрования невосстановимы; выкуп может означать постоянную потерю данных.

Цитируемые технические данные (Sysdig TRT, 1 июля 2026):

• Объём payload: 600+ отдельных целевых payload.
• Масштаб шифрования: 1 342 записи конфигурации Nacos; записка уточнена через две минуты: «все 1342 элемента зашифрованы».
• CVE-2025-3248: CVSS 9.8; EPSS 91,42%; CISA KEV 5 мая 2025.
• Починка Nacos-backdoor: 31 секунда от неудачного логина до успеха; 15-строчный fix-payload с циклом delete-diagnose-rebuild.

[ SECTION_08 ] // FAQ FAQ JADEPUFFER и ссылки на источники

В: JADEPUFFER и Flodrix — одна группа?
Нет. Общий вход CVE-2025-3248, но независимые кампании — Flodrix традиционный ботнет, JADEPUFFER ransomware под LLM-агентом.

В: Может ли выкуп восстановить данные?
Скорее всего нет. Ключи выведены в stdout один раз и не эксфильтрованы — у атакующего тоже может не быть материала для расшифровки.

В: Почему цель — Langflow?
Серверы AI-агентов часто держат API keys и облачные credentials; многие инстансы публично открыты для быстрого прототипирования.

В: Что означает ATA?
Agentic Threat Actor — термин Sysdig для атакующих, чья способность доставляется AI-агентом, а не ручными инструментами.

Первичные источники — перепроверьте ссылки после обновлений upstream:

Sysdig: JADEPUFFER: Agentic ransomware for automated database extortion (оригинальный технический отчёт)

BleepingComputer: JadePuffer ransomware used AI agent to automate entire attack

Dark Reading: JadePuffer: The First Complete LLM-Driven Ransomware Attack

Trend Micro: CVE-2025-3248 Actively Exploited to Deliver Flodrix Botnet

Запуск Langflow, OpenClaw или Hermes Agent на публично открытом ноутбуке или shared VPS — задокументированный failure mode: один RCE параллелит скан API keys и pivot к Nacos/MySQL, пока агент за 31 секунду сам чинит bcrypt-ошибки. Локальные firewall-правила редко держат согласованную egress-политику 7×24; generic cloud Linux не даёт Apple Silicon и стабильной macOS Agent-экосистемы с нативным Metal и предсказуемым планировщиком.

Если нужен изолированный 7×24 хост агента, контролируемый egress и выделенный Apple Silicon, разнесите AI-оркестрацию и secret management с internet-facing поверхностей на не напрямую доступный Mac Mini bare-metal узел — надёжнее, чем ставить на раздутую attack surface: NOVAKVM предлагает multi-region Mac Mini M4 / M4 Pro с гибкими сроками, SSH по умолчанию, подходит для iOS CI/CD и автоматизации AI-агентов на одной машине. Тарифы — страница цен, заказ — оформить заказ, деплой — центр помощи.