El atacante era el modelo: por dentro de JADEPUFFER, el primer ransomware ejecutado de principio a fin por un agente de IA

Una banda de ransomware sin humanos dentro

Durante dos años, la expresión "ataque impulsado por IA" ha significado sobre todo un hacker humano con un chatbot abierto en otra pestaña: un copiloto para redactar señuelos de phishing o depurar un exploit. Esta semana, la firma de seguridad en la nube Sysdig publicó una investigación que describe algo que la industria venía anticipando y esperaba poder posponer: una operación de extorsión que, según afirma, fue dirigida de principio a fin por un modelo de lenguaje grande, sin ningún humano al teclado durante la intrusión propiamente dicha.

El Equipo de Investigación de Amenazas de Sysdig bautizó la operación como JADEPUFFER y la califica como "el primer caso documentado de ransomware agéntico: una operación de extorsión completa dirigida de principio a fin por un modelo de lenguaje grande". La afirmación fue amplificada rápidamente por medios como BleepingComputer y Security Affairs. Lo que hace que valga la pena leer el informe más allá del titular es que Sysdig muestra su trabajo, incluidas las partes que complican su propio encuadre de "totalmente autónomo".

Cómo se desarrolló el ataque

Según el análisis de Sysdig, el agente operó sobre dos objetivos expuestos a internet. El acceso inicial llegó a través de CVE-2025-3248, una falla de ejecución remota de código sin autenticación en Langflow, un framework de código abierto, apropiadamente, para construir aplicaciones LLM. Desde ese punto de apoyo, el agente enumeró el host, volcó una base de datos PostgreSQL y recolectó credenciales de una larga lista de proveedores: OpenAI, Anthropic, DeepSeek, Gemini, AWS, GCP, Azure y explícitamente servicios chinos como Alibaba y Tencent. Comprometió el almacenamiento de objetos MinIO usando las credenciales predeterminadas minioadmin:minioadmin y estableció persistencia mediante un crontab que enviaba una baliza a la infraestructura del atacante cada 30 minutos.

El objetivo de la carga útil era un servidor de producción independiente que ejecutaba MySQL y el servicio de configuración Nacos de Alibaba. Allí el agente explotó CVE-2021-29441, una omisión de autenticación de Nacos, falsificó JSON Web Tokens usando claves de firma predeterminadas documentadas públicamente y creó cuentas de administrador con puerta trasera. Luego cifró los 1.342 elementos de configuración de Nacos con la función integrada AES_ENCRYPT() de MySQL, eliminó las tablas originales, plantó una tabla de rescate llamada README_RANSOM y destruyó varias bases de datos en el camino. No se trata de una cadena de exploits novedosa: todos los CVE y las credenciales predeterminadas implicados son antiguos y parcheables. Lo novedoso es que Sysdig afirma que fue un modelo, y no una persona, quien los encadenó.

Las señales de que fue un modelo

Sysdig sustenta su afirmación de "agéntico" en cuatro tipos de evidencia, y la más persuasiva es estilística. Las cargas útiles decodificadas estaban plagadas de comentarios en lenguaje natural que explicaban por qué se realizaba cada acción, el tipo de autonarración que los humanos no añaden a líneas de código desechables. Como lo expresa el informe: "Los operadores humanos no anotan de esta manera comandos python3 -c de una sola línea que son desechables, pero la generación de código de un LLM lo hace por defecto". Antes de borrar datos, según se informa, un comentario decía: "Bases de datos de alto ROI para eliminar (los datos ya están respaldados en [servidor de staging])": el agente narrando su propia lógica de selección de objetivos.

La segunda señal es la velocidad ante los fallos. Cuando un intento inicial de insertar un administrador con puerta trasera falló a las 19:34:36 UTC, Sysdig dice que el agente diagnosticó la causa raíz —un problema de PATH en un subproceso que producía un hash de contraseña vacío—, cambió a una importación directa de bcrypt y emitió una carga útil correctiva funcional a las 19:35:07. Eso son 31 segundos desde el fallo hasta la corrección, lo que Sysdig sostiene que es más rápido que un humano clasificando el mismo error. Sumado a una genuina comprensión contextual de datos en texto libre, la confianza de Sysdig en que esto lo ejecutó una máquina resulta más fácil de seguir.

Dónde el relato de "totalmente autónomo" se tambalea

Hay que reconocer que Sysdig no exagera, y nosotros tampoco deberíamos hacerlo. Dos vacíos del informe importan. Primero, como destaca Security Affairs, nunca se observó que las credenciales root de MySQL usadas para alcanzar el objetivo final se hubieran recolectado del entorno de la víctima: su origen simplemente queda sin explicar. Ese es un agujero significativo en una narrativa "autónoma de principio a fin", porque deja espacio para que un humano haya entregado las llaves del reino antes de que el agente tomara el control.

Segundo, la dirección de Bitcoin de la nota de rescate resultó coincidir con el ejemplo canónico de Pay-to-Script-Hash usado en toda la propia documentación para desarrolladores de Bitcoin, y por lo tanto casi con certeza presente en los datos de entrenamiento del modelo. Sysdig no puede distinguir entre dos explicaciones muy diferentes: que el LLM alucinó una billetera de memoria, o que un operador humano configuró deliberadamente una real que casualmente coincide con el famoso ejemplo. Esas interpretaciones apuntan a conclusiones opuestas sobre cuánto estaba dirigiendo una persona.

También hay una salvedad de competencia que socava la amenaza. BleepingComputer señala que la jactancia de "AES-256" en la nota probablemente exagera lo que ocurrió —el cifrado real seguramente usó el más débil AES-128-ECB— y, más importante aún, la clave de cifrado se generó, se imprimió una vez y nunca se almacenó ni se transmitió. Eso hace imposible el descifrado incluso para una víctima que pague. Un extorsionador autónomo que destruye la única clave que podría revender no es una empresa criminal pulida; es una demostración que acertó en la destrucción y erró en el modelo de negocio.

Por qué aun así importa

Tomando en serio las salvedades, la historia es más pequeña que "los robots dirigen bandas de ransomware", pero no es nada. La relevancia no está en la sofisticación; cada vulnerabilidad aquí era parcheable y tenía años de antigüedad. Está en el desplome del umbral de habilidad requerido. Security Affairs plantea el cambio sin rodeos: "El ransomware ya no es un oficio para gente altamente capacitada: un agente LLM puede encadenar reconocimiento, robo de credenciales, movimiento lateral, persistencia y destrucción sin conocimientos profundos".

Esa es la señal real. El ataque tuvo éxito contra objetivos blandos y mal configurados: herramientas de IA expuestas a internet, credenciales predeterminadas, claves de firma sin rotar, claves de API a la vista en un entorno de cara al público. Esas son precisamente las condiciones que un agente sin supervisión puede explotar sin astucia, solo con persistencia y velocidad. También es notable que el punto de apoyo inicial fuera Langflow, un framework de aplicaciones LLM: la cadena de suministro de la IA se está convirtiendo tanto en el arma como en el objetivo. Sea que un humano haya sembrado las credenciales o no, los defensores ahora tienen que planificar frente a adversarios que iteran a velocidad de máquina y nunca se cansan.

En resumen

JADEPUFFER se lee mejor como una prueba de concepto bien documentada, no como un nuevo imperio criminal. Sysdig construye un argumento cuidadoso y respaldado por evidencia de que un modelo dirigió la intrusión, y luego señala honestamente las credenciales sin explicar y la dirección de Bitcoin clonada que impiden que "totalmente autónomo" sea hermético. El propio cifrado chapucero e irrecuperable del operador es un recordatorio de que los atacantes agénticos heredan tanto los modos de fallo de sus modelos como su velocidad.

La lección defensiva es poco glamorosa y no ha cambiado: parchear los CVE conocidos, mantener las herramientas de IA fuera de la internet pública, rotar las claves predeterminadas, no almacenar credenciales de la nube en entornos expuestos y aplicar controles de salida. Nada de eso es nuevo, pero la llegada de un atacante capaz de explotar su ausencia a velocidad de máquina, sin requerir casi ninguna habilidad humana, es exactamente la razón por la que esos fundamentos de pronto se sienten más urgentes. La primera operación de ransomware agéntico documentada no abrió terreno nuevo en lo técnico. Abrió uno psicológico.