Pierwszy udokumentowany atak ransomware AI, w którym szkodliwe działanie napędzał autonomiczny agent, okazał się mniej samodzielny, niż sugerowały pierwsze nagłówki. Badacze z firmy Sysdig opisali operację nazwaną JadePuffer, w której agent AI sam przeprowadził większość ataku, ale bez człowieka po drugiej stronie by się nie odbył.
Według analizy Sysdig agent wykorzystał znaną lukę w Langflow, otwartym narzędziu do budowy aplikacji opartych na modelach językowych. Następnie dostał się do produkcyjnego serwera MySQL, zdobył uprawnienia administratora przez kolejny błąd i zaszyfrował ponad 1300 rekordów konfiguracyjnych. Sam wygenerował też notatkę z żądaniem okupu oraz adres Bitcoin. W jednym z logów agent naprawił nieudane logowanie w 31 sekund, na bieżąco opisując swoje rozumowanie. Sysdig nie ustalił, jaki dokładnie model napędzał JadePuffer ani jaki miał prompt systemowy.
Dlaczego atak wciąż potrzebował człowieka
Michael Clark, dyrektor do spraw badań nad zagrożeniami w Sysdig, ostudził emocje. „Człowiek nadal skonfigurował i ukierunkował operację oraz zapewnił stojącą za nią infrastrukturę: serwer command-and-control, serwer przejściowy na wykradzione dane i wybór ofiary" — wyjaśnił. Dane dostępowe do bazy pochodziły z wcześniejszego włamania, a nie z pracy samego agenta. Warto też odróżnić fakty od sensacji: klucze API do OpenAI, Anthropic, DeepSeek i Gemini, które znaleziono przy okazji, były łupem ataku, a nie dowodem, że napędzało go kilka modeli naraz.
Dla polskich firm to sygnał, żeby nie ulegać ani panice, ani lekceważeniu. Agenty AI realnie przyspieszają fazy ataku, które kiedyś zajmowały napastnikowi godziny: rozpoznanie, eskalację uprawnień i szyfrowanie. Jednocześnie punkty wejścia pozostają te same co zawsze: niezałatane podatności, jak w Langflow, wykradzione wcześniej hasła i źle zabezpieczone serwery produkcyjne. Podstawowa higiena bezpieczeństwa, czyli aktualizacje, rotacja kluczy API i monitoring dostępu do baz, nadal zatrzymuje większość takich scenariuszy, także tych z udziałem AI.
Źródło: TechCrunch (EN), 6 lipca 2026.
