O ataque rodou sozinho — mas alguém ainda precisou mirar a arma
Na semana passada, pesquisadores da empresa de segurança em nuvem Sysdig documentaram o que descreveram como o primeiro caso conhecido de “ransomware agêntico”. A operação, batizada de JadePuffer, usou um agente de IA para executar tecnicamente um ataque cibernético real do início ao fim — invadiu um servidor vulnerável, roubou credenciais, moveu-se pela rede da vítima, criptografou arquivos e até escreveu sua própria nota de resgate.
A cobertura inicial sugeriu que o ataque ocorreu “sem qualquer supervisão humana” e “sem ninguém no teclado”. Mas o quadro não é bem esse.
O humano ainda estava no loop — só não no teclado
Em entrevista ao CyberScoop na segunda-feira, Michael Clark, diretor sênior de pesquisa de ameaças da Sysdig, esclareceu: um humano ainda estava profundamente envolvido, apenas não na execução técnica. “Um humano ainda configurou e direcionou a operação, provisionou a infraestrutura por trás dela — o servidor de comando e controle, o servidor de staging para dados roubados — e escolheu a vítima”, disse Clark.
As credenciais usadas para invadir o banco de dados da vítima não foram coletadas pelo próprio agente de IA. Alguém as obteve separadamente, por meio de um comprometimento anterior, e as entregou à operação.
Como o ataque funcionou tecnicamente
Os detalhes técnicos continuam notáveis. O agente entrou por uma vulnerabilidade conhecida no Langflow, ferramenta open-source popular para construir aplicações com LLMs. De lá, moveu-se para um servidor MySQL de produção e explorou outra falha conhecida para obter acesso de administrador.
O agente criptografou mais de 1.300 registros de configuração, deixou uma nota de resgate escrita por ele mesmo e um endereço Bitcoin para pagamento. A Sysdig não revelou quem foi a vítima.
Velocidade e transparência assustadoras
As técnicas usadas foram relativamente comuns. O que impressionou foi a velocidade e a transparência: o agente corrigiu uma falha de login em 31 segundos, narrando seu próprio raciocínio em comentários de código em linguagem natural durante todo o processo.
Um detalhe que inicialmente confundiu o cenário foi esclarecido: Clark havia dito que a Sysdig encontrou “múltiplos modelos usados no ataque”, citando chaves coletadas da OpenAI, Anthropic, DeepSeek e Gemini. Mas essas chaves eram parte do saque, não evidência do modelo que conduzia o ataque. “O agente varreu o host do Langflow em busca de qualquer coisa valiosa — chaves de API de provedores, credenciais de nuvem, carteiras de criptomoedas”, explicou Clark.
Qual modelo estava por trás do JadePuffer?
A Sysdig não conseguiu identificar o modelo específico que conduzia o agente e não tem visibilidade sobre seu prompt de sistema ou configuração.
Geoff McDonald, pesquisador da Microsoft, sugeriu no LinkedIn que provavelmente foi usado um modelo de pesos abertos com o treinamento de segurança removido, e não um modelo de fronteira. Sua experiência em red-teaming mostra que as camadas de segurança dos grandes laboratórios resistem bem a esse tipo de uso. O relato da Sysdig não confirma nem descarta essa hipótese.
O que isso significa para o futuro
McDonald alertou que campanhas de ransomware agora são limitadas principalmente pelo orçamento do atacante, não pelo esforço humano, levantando a possibilidade de “milhares ou dezenas de milhares de campanhas simultâneas”. Mas essa preocupação é difícil de conciliar com o que Clark descreveu: se um humano ainda precisa escolher cada vítima, provisionar infraestrutura e obter credenciais, isso ainda representa um gargalo.
De qualquer forma, Clark disse ao CyberScoop que, embora a Sysdig não tenha visto a mesma operação atingir outras vítimas ainda, dado o quão barato é rodar um agente, ele espera que isso mude.
Descubra mais sobre noticiAI
Assine para receber nossas notícias mais recentes por e-mail.
