JadePuffer: Sysdig dokumentiert die erste vollautonome KI-Ransomware
KI-generiert mit ChatGPT
Das Sicherheitsunternehmen Sysdig hat nach eigener Einschätzung die erste dokumentierte KI-Ransomware entdeckt. Ein Agent steuerte die Operation vom Einstieg bis zur Zerstörung allein. Das Threat Research Team nennt den Angreifer JadePuffer und stuft ihn als agentischen Bedrohungsakteur ein. Die Angriffsfähigkeit kommt hier von einem großen Sprachmodell statt von einem menschlichen Akteur.
Die einzelnen Techniken waren nicht neu. Spannend ist, dass ein Modell diese zu einer vollständigen Erpressung verkettete.
Vom Langflow-Server bis zur zerstörten Datenbank
Der Einstieg gelang laut Sysdig über CVE-2025-3248, eine Schwachstelle im Open-Source-Framework Langflow. Eine CVE ist eine öffentlich erfasste Sicherheitslücke mit eindeutiger Kennnummer. Über die Langflow-Lücke lässt sich beliebiger Python-Code ohne Anmeldung ausführen. Vor genau dieser Schwachstelle hatte die US-Behörde CISA bereits im Mai 2026 gewarnt, viele Server blieben trotzdem ungepatcht am Netz.
Nach dem Zugriff durchsuchte der Agent das System nach Zugangsdaten und exfiltrierte API-Schlüssel und Cloud-Konten. Zusätzlich legte der Agent einen Cronjob an, der alle 30 Minuten eine Verbindung zur Angreifer-Infrastruktur aufbaut.
Vom kompromittierten Langflow-Server wechselte JadePuffer auf das eigentliche Ziel, einen Produktionsserver mit MySQL-Datenbank und dem Konfigurationsdienst Alibaba Nacos. Der Agent verband sich über den offenen MySQL-Port mit Root-Rechten. Woher diese Zugangsdaten stammten, konnte Sysdig nicht herausfinden, laut CyberScoop deutet das auf eine vorherige Kompromittierung durch einen Menschen hin. Am Ende verschlüsselte der Agent 1.342 Nacos-Konfigurationen, löschte die Originaltabellen und hinterließ ein Lösegeldschreiben mit Bitcoin-Adresse.
AnzeigeWarum Sysdig von einem KI-Modell als Täter ausgeht
Ein Detail belegt die Autonomie besonders deutlich. Nach einem fehlgeschlagenen Login analysierte der Agent die Ursache. Er wechselte den technischen Ansatz und lieferte 31 Sekunden später eine korrigierte Version. Ein menschlicher Angreifer braucht für die Analyse sowie die entsprechenden Anpassungen deutlich länger.
In kurzer Zeit führte JadePuffer mehr als 600 einzelne Payloads aus. Auffällig war, dass der Code seine eigenen Ziele in natürlicher Sprache beschrieb. Sysdig sieht genau darin eine neue Chance für die Verteidigung: Das Modell legt seine Absichten offen.
Zwei Angaben stammen allein vom Angreifer und sind nicht unabhängig bestätigt. Das Erpresserschreiben behauptet eine Verschlüsselung mit AES-256, tatsächlich nutzt die eingesetzte MySQL-Funktion nach Analyse von Sysdig standardmäßig AES-128. Auch der angebliche Datendiebstahl ist eine Behauptung im Code des Agenten, keine belegte Exfiltration. Der Schlüssel wurde zufällig erzeugt und nie gespeichert, die Opfer können ihre Konfigurationen deshalb auch nach einer Zahlung nicht wiederherstellen. Wie schnell KI-gestützte Angriffe reale Infrastruktur treffen, zeigte zuletzt ein von AWS dokumentierter Angriff auf über 600 FortiGate-Systeme.
Warum ein KI-Agent ein anderes Sicherheitsmodell benötigt als klassische Software, haben wir bereits am Beispiel des Lethal Trifecta erklärt. Die praktischen Schutzmaßnahmen sind bekannt. Dazu zählen ein Patch für Langflow, keine Zugangsdaten in den Umgebungen von KI-Servern sowie ein gehärteter Nacos-Dienst. Datenbank-Verwaltungszugänge gehören zudem nie offen ins Internet.
Server, KI-Modelle und Recherche kosten Geld. ClawNews ist unabhängig — hilf mit, dass das so bleibt.
