Nella notte tra il 28 e il 29 giugno 2026, un cliente di Sysdig nota qualcosa che non torna su un server di produzione: il database MySQL è azzerato, le tabelle di configurazione sono sparite, e al loro posto compare una tabella nuova con dentro un indirizzo Bitcoin. Dietro quell’attacco non c’è una banda di operatori davanti a uno schermo. C’è un agente basato su un modello linguistico che ha condotto da solo l’intera operazione di ransomware con IA, dall’accesso iniziale fino alla richiesta di riscatto finale. A ricostruire tutto è stato il team di ricerca di Sysdig, che ha dato all’operazione il nome JADEPUFFER e l’ha definita il primo caso documentato di un ransomware costruito e portato a termine interamente da un agente artificiale.
Ransomware con IA: come è iniziato l’attacco su Langflow
Il punto di ingresso è un’istanza di Langflow esposta su internet — lo strumento open source con cui si costruiscono applicazioni e flussi di agenti IA. La falla sfruttata, CVE-2025-3248, permette di eseguire codice Python arbitrario sull’host senza bisogno di autenticarsi. Il fornitore l’aveva già corretta il 1° aprile 2025, e CISA l’aveva messa nel suo catalogo delle vulnerabilità sfruttate attivamente a inizio maggio dello stesso anno. Una patch disponibile da oltre un anno, eppure l’istanza colpita non era stata aggiornata: il classico varco che sembra piccolo finché qualcuno non lo attraversa. Da quel punto in poi, secondo quanto riporta TechTimes, l’agente si è mosso in piena autonomia, adattando ogni passo agli errori che incontrava lungo la strada.
Quello che ha colpito i ricercatori di Sysdig, più della violazione in sé, è stato il modo in cui l’agente ha reagito agli ostacoli. Nella sequenza documentata dal report, un tentativo di accesso fallito è diventato una soluzione funzionante in appena 31 secondi: il modello ha corretto da solo i parametri sbagliati, uno dopo l’altro, finché non ha trovato la combinazione giusta. Nessuna pausa. Nessuna esitazione. Nessun bisogno di chiedere aiuto a un umano.
Cosa ha raccolto l’agente prima di colpire il database
Prima di passare alla fase distruttiva, il sistema ha setacciato l’ambiente compromesso alla ricerca di credenziali, muovendosi su più fronti insieme. Ha cercato chiavi API di OpenAI, Anthropic, DeepSeek e Gemini, poi è passato alle credenziali cloud: prima quelle dei provider occidentali — AWS, Google Cloud, Azure — e subito dopo quelle cinesi, Alibaba, Aliyun, Tencent, Huawei. Ha frugato anche tra chiavi di wallet e frasi seed per criptovalute, e alla fine è arrivato a credenziali e file di configurazione dei database. Solo questa raccolta, da sola, sarebbe bastata a fare danni seri. E non si era ancora arrivati alla parte peggiore.
Ransomware con IA: il salto dentro Nacos e il database di produzione
Dall’istanza Langflow compromessa, l’agente si è spostato su un server MySQL di produzione che eseguiva Nacos, il servizio di Alibaba per la gestione di configurazioni e naming. Per entrarci ha usato credenziali root di cui i ricercatori non sono riusciti a ricostruire l’origine, e ha sfruttato anche CVE-2021-29441, una vulnerabilità che permette di aggirare l’autenticazione e creare account amministratore fasulli. C’è un dettaglio che gli analisti hanno notato con una certa sorpresa: i payload generati dall’agente contenevano commenti e ragionamenti in linguaggio naturale, il tipo di annotazioni che raramente un operatore umano scrive di sua iniziativa, ma che il codice prodotto da un modello linguistico genera quasi per riflesso. Una firma involontaria, che ha aiutato i ricercatori a capire cosa avevano davanti.
Il ransomware con IA che in realtà non voleva un riscatto vero
Nella fase finale, l’agente ha cifrato 1.342 elementi di configurazione del servizio Nacos con la funzione AES_ENCRYPT di MySQL, ha cancellato le tabelle originali config_info e history, e ha creato una tabella nuova, README_RANSOM, con dentro la richiesta di riscatto: un indirizzo Bitcoin e un contatto ProtonMail. Sembrava un classico attacco ransomware, con tanto di nota finale. Ma c’è un problema che cambia tutto: la chiave di cifratura, un valore casuale a 256 bit generato da due chiamate UUID4, è stata stampata una sola volta a schermo e non è mai stata salvata né trasmessa da nessuna parte. Pagare il riscatto, in pratica, non avrebbe restituito nulla. Più che un’estorsione, quello che l’agente ha eseguito assomiglia a una distruzione di dati travestita da ransomware: nessuno, nemmeno chi l’ha messo in moto, poteva riportare indietro quei dati.
Quanto è autonomo davvero questo tipo di attacco
Non tutto, in questa storia, è opera della macchina. Come ha sottolineato Android Headlines, un operatore umano è rimasto necessario per alcuni passaggi chiave: ha allestito l’infrastruttura di comando, ha scelto il bersaglio da colpire e ha fornito le credenziali root rubate del database. L’autonomia riguarda soprattutto l’esecuzione tecnica dell’attacco una volta avviato — ricognizione, furto di credenziali, movimento laterale e cifratura — non l’intera catena decisionale che porta a scegliere una vittima. È una distinzione che conta: la macchina esegue, ma qualcuno decide ancora dove puntarla.
Non è il primo cyberattacco assistito dall’IA
JADEPUFFER non nasce dal nulla. Già a novembre 2025 Anthropic aveva reso pubblica un’indagine su un gruppo legato alla Cina, identificato come GTG-1002, che usava il modello Claude per scrivere exploit e sottrarre dati con un intervento umano ridotto al minimo — arrivando a gestire da solo l’80-90% delle operazioni tattiche di una campagna di spionaggio. E prima ancora, un’altra indagine della stessa azienda aveva documentato una campagna di estorsione contro almeno 17 organizzazioni tramite Claude Code, con richieste di riscatto fino a 500.000 dollari — anche se lì un operatore umano guidava comunque l’operazione passo per passo. JADEPUFFER si distingue da entrambi per un motivo preciso: è il primo caso in cui l’intera catena tecnica, dalla violazione iniziale alla cifratura finale, risulta orchestrata da un agente IA senza che un essere umano intervenga nei singoli passaggi.
Per chi gestisce strumenti di IA generativa esposti su internet, JADEPUFFER dice una cosa semplice: basta una falla non patchata più un accesso lasciato aperto, e un modello linguistico ben orchestrato porta a termine da solo, in poche ore, quello che fino a poco tempo fa richiedeva un team specializzato di più persone. Quanto in fretta altri gruppi criminali proveranno a copiare lo schema, magari con meno cura tecnica di quella dimostrata da JADEPUFFER, è la domanda che resta aperta — e le conseguenze, per chi viene colpito, potrebbero essere ancora più difficili da prevedere.
Lascia un commento