Die wichtigsten Erkenntnisse
- „JadePuffer“ ist der Name, den Sicherheitsforscher bei Sysdig einer Ransomware-Operation gegeben haben, die ihrer Einschätzung nach als erste dokumentierte Operation gilt, die durchgehend von einem autonomen KI-Agenten gesteuert wird – und nicht von einem Menschen, der ein Toolkit einsetzt.
- Die einzelnen Techniken waren nicht neu. Was sich geändert hatte, war die Geschwindigkeit der Abfolge: Der Agent verband Aufklärung, Diebstahl von Zugangsdaten, laterale Bewegung und zerstörerische Verschlüsselung miteinander und korrigierte einen fehlgeschlagenen Anmeldeversuch innerhalb von 31 Sekunden.
- Der Agent hat seinen eigenen Verschlüsselungsschlüssel generiert und diesen anschließend weder gespeichert noch übertragen. Die Zahlung des Lösegelds hätte nicht zur Wiederherstellung der Daten geführt.
- Der eigentliche Schaden betraf den Konfigurationsstatus und die Systeme der Steuerungsebene, nicht nur Dateien – und genau diese Ebene wird von den meisten Wiederherstellungsplänen nicht abgedeckt.
- Sich von einem solchen Angriff zu erholen bedeutet, nachzuweisen, dass das Unternehmen den Betrieb sicher wieder aufnehmen kann – es reicht nicht aus, lediglich ein Backup wiederherzustellen.
Was ist passiert?
Mitte 2026 dokumentierten Sicherheitsforscher bei Sysdig eine Erpressungskampagne, die ihrer Ansicht nach die erste ihrer Art ist: eine Ransomware-Aktion, die durchgehend von einem Agenten auf Basis eines großen Sprachmodells durchgeführt wurde, wobei der menschliche Eingriff über die Tastatur auf ein Minimum beschränkt war. Sie nannten sie „JadePuffer“.
Der Einstiegspunkt war bekannt. Der Angreifer nutzte CVE-2025-3248 aus, eine Schwachstelle in Langflow – einem Open-Source-Framework zur Erstellung von Workflows für KI-Agenten, das in einer Version vor 1.3.0 lief –, die die Ausführung von Code aus der Ferne ohne Authentifizierung ermöglichte. Von dort aus führte der Agent eine Bestandsaufnahme des Hosts durch, suchte bei „Cloud“-Anbietern, KI-Modellanbietern und Datenbanken nach Anmeldedaten und kopierte unbemerkt die eigene Hintergrunddatenbank der „Plattform“.
Was als Nächstes geschah, ist besonders bemerkenswert. Der Agent scannte das interne Netzwerk, fand einen ungeschützten Objektspeicher und extrahierte Terraform-Zustands- und Konfigurationsdateien. Er richtete eine geplante Aufgabe ein, um alle 30 Minuten eine Verbindung zur Kommandozentrale herzustellen. Anschließend wechselte er zu einem separaten Produktionssystem, auf dem MySQL und Alibaba Nacos liefen – eine in Microservice-Architekturen gängige Plattform für Konfiguration und Service-Discovery.
Sobald er sich Zugang verschafft hatte, versuchte der Agent, ein Administratorkonto in Nacos anzulegen. Der Versuch schlug fehl. Einunddreißig Sekunden später hatte es den Fehler diagnostiziert und mit einem anderen Ansatz Erfolg gehabt. Anschließend nutzte es die Dateiverarbeitungsfunktionen von MySQL, um zu prüfen, ob es seine Zugriffsrechte weiter ausweiten konnte, bevor es mehr als 1.300 Konfigurationsdatensätze verschlüsselte, die ursprünglichen Tabellen löschte und eine Lösegeldforderung hinterließ.
Der Verschlüsselungsschlüssel wurde spontan generiert, einmal angezeigt und nirgendwo gespeichert, wo der Angreifer ihn wieder abrufen könnte. Ob dies nun beabsichtigt war oder nicht – für das Opfer ist das Ergebnis dasselbe: Es gab keinen Weg zurück über den Angreifer oder einen Entschlüsselungsschlüssel, unabhängig davon, ob Lösegeld gezahlt wurde oder nicht. Die Wiederherstellung würde von einwandfreien Backups, einer Neuinstallation oder validierten Wiederherstellungspunkten abhängen.
Warum Forscher dies als „agentisch“ bezeichnen
Keine der hier beschriebenen Techniken ist neu. Die Ausnutzung einer ungepatchten CVE, das Sammeln von Anmeldedaten, das Scannen nach lateraler Bewegung, die Verschlüsselung von Daten zu Erpressungszwecken: Sicherheitsteams haben all das schon einmal gesehen. Was Sysdig dazu veranlasste, den Angreifer als „agentisch“ und nicht als herkömmlichen Angreifer einzustufen, ist die Art und Weise, wie die einzelnen Schritte ineinandergreifen.
Der Agent arbeitete nicht nach einem festgelegten Skript. Er beobachtete die Ergebnisse und passte sich entsprechend an. Als er eine JSON-Antwort erwartete und stattdessen XML erhielt, änderte er seine Vorgehensweise und setzte den Vorgang fort. Als sein erster Versuch, ein Administratorkonto anzulegen, fehlschlug, ermittelte er die genaue Fehlerursache und probierte innerhalb von weniger als einer Minute eine andere Vorgehensweise aus.
Die Forscher fanden zudem in den Payloads eingebettete Kommentare, in denen Ziele und nächste Schritte in einfacher Sprache erläutert wurden – ein Muster, das eher auf die Schlussfolgerungen eines großen Sprachmodells (LLM) bei der Bearbeitung einer Aufgabe hindeutet als auf einen Menschen, der ein bekanntes Exploit-Kit kopiert und einfügt. In öffentlichen Berichten wurde bislang nicht bestätigt, welches Modell oder welche „Plattform“ hinter dem Angriff steckte. Bestätigt ist jedoch das Verhalten: Etwas, das logisch überlegte, handelte, auf ein Hindernis stieß und seinen Kurs schneller korrigierte, als es die meisten von Menschen gesteuerten Reaktionsmaßnahmen auf Vorfälle schaffen.
Das Problem der Wiederherstellung, das zu viele Frameworks immer noch übersehen
Die meisten Vorgehensweisen bei Ransomware basieren auf einer bestimmten Annahme: Ihre Dateien wurden verschlüsselt, und die Frage ist, ob Sie ein einwandfreies Backup wiederherstellen können oder ob Sie um einen Entschlüsselungscode verhandeln müssen.
JadePuffer widerlegt diese Annahme in zweierlei Hinsicht. Erstens gab es keinen Entschlüsselungsschlüssel, über den verhandelt werden musste. Zweitens beschränkte sich der Schaden nicht nur auf die Daten. Er betraf auch die Konfigurations- und Steuerungsebene unterhalb der Daten: die Service-Discovery-Plattform, die darin gespeicherten Geheimnisse, den Terraform-Zustand, der beschreibt, wie die Infrastruktur zusammenpasst, sowie die Anmeldedaten, die über alle Systeme verstreut waren, mit denen der Agent auf seinem Weg in Berührung kam.
Das ist bei der Wiederherstellung ein schwierigeres Problem als die „Wiederherstellung der Datenbank“. Eine saubere Dateiwiederherstellung in einer Umgebung mit aktualisierten, aber nicht überprüften Anmeldedaten, ungeprüften Konfigurationsabweichungen und einer Identitätsschicht, die niemand erneut überprüft hat, ist keine wirklich saubere Wiederherstellung. Es handelt sich um eine neue Kopie der Daten in einem System, dem man nach wie vor nicht vertrauen kann.
Was dies für Ihre Resilienzstrategie bedeutet
JadePuffer gibt einen Vorgeschmack auf die Frage, die jeder Wiederherstellungsplan irgendwann beantworten muss: Können Sie den Betrieb wieder aufnehmen, wenn ein Angreifer nicht nur Ihre Daten, sondern auch die Identitäts-, Konfigurations- und Steuerungssysteme angegriffen hat, auf denen diese Daten beruhen?
Ein paar Ansatzpunkte:
Behandeln Sie Systeme auf Konfigurations- und Steuerungsebene als für die Recovery kritisch, nicht nur Anwendungen. Service-Discovery-Plattformen, Speicherorte für Geheimnisse und der Zustand von „Infrastructure-as-Code“ sind ebenso geschäftskritisch wie die Datenbanken, die sie konfigurieren. Wenn sie heute noch nicht in Ihrem Recovery-Plan enthalten sind, ist dies die erste Lücke, die geschlossen werden muss.
Integrieren Sie die Sicherheit von Anmeldedaten bereits in den Wiederherstellungsprozess ein – und nicht erst danach. Die Wiederherstellung einer Arbeitslast, durch die kompromittierte Geheimnisse erneut eingeführt werden, beendet den Vorfall nicht, sondern setzt die Uhr zurück. Genau diesen Ansatz wendet Commvault heute auf die Identitätsinfrastruktur an: Schwachstellenanalysen, um Sicherheitslücken zu erkennen, bevor ein Angreifer dies tut, Echtzeit-Audits, um Änderungen sofort zu erfassen, und Rollbacks, um unbefugte Änderungen rückgängig zu machen, ohne von Grund auf neu aufbauen zu müssen.
Überprüfen Sie die Daten vor der Wiederherstellung, nicht danach. Ein Wiederherstellungspunkt ist nur dann sinnvoll, wenn Sie sicher sind, dass er fehlerfrei ist. Das ist das Prinzip hinter Commvault Cleanroom™: Daten werden in einer isolierten Umgebung getestet und überprüft, bevor sie wieder in die Produktionsumgebung gelangen – statt erst nach einer erneuten Infektion festzustellen, dass etwas nicht stimmt.
Planen Sie für einen Angriff auf die Steuerungsebene, nicht nur für einen Vorfall mit Dateiverschlüsselung. Ein Wiederherstellungsplan, der ausschließlich auf „verschlüsselte Dateien, Wiederherstellung aus dem Backup“ ausgelegt ist, reicht bei einem Vorfall wie diesem nicht aus. Die sinnvollere Frage – und die, die im Mittelpunkt von ResOps (Resilience Operations) als betrieblicher Disziplin steht – lautet: Was ist erforderlich, um einen minimal funktionsfähigen Betrieb zu erreichen, wenn die Systeme, auf denen Ihre Anwendungen basieren, selbst betroffen sind?
All dies bedeutet nicht, dass man agentenbasierte KI als eine beispiellose Bedrohung betrachten muss, die einen Neuanfang von Grund auf erfordert. Vielmehr gilt es, die gleichen Resilienzmaßnahmen, die bereits für Identität und Daten gelten, auf die Konfigurations- und Steuerungsebene auszuweiten, auf die agentenbasierte Angriffe mittlerweile direkt abzielen. Erfahren Sie mehr darüber, wie Commvault das Thema Identitätsresilienz und die Validierung der fehlerfreien Wiederherstellung angeht.
FAQs
F: Was ist JadePuffer? A: „JadePuffer“ ist der Name, den Sysdig der nach seiner Einschätzung ersten dokumentierten Ransomware-Kampagne gegeben hat, die durchgehend von einem autonomen KI-Agenten gesteuert wurde und nicht von einem menschlichen Angreifer, der ein Toolkit manuell bediente.
F: Haben die Angreifer ein bestimmtes KI-Modell verwendet, wie beispielsweise ChatGPT oder Claude? A: In den öffentlichen Medienberichten wurde nicht bestätigt, welches Modell oder welche „Plattform“ verwendet wurde. Der Agent suchte nach API-Schlüsseln verschiedener KI-Anbieter, was auf ein Interesse an dieser Art von Zugriff hindeutet, jedoch keinen Aufschluss darüber gibt, worauf der Angriff selbst beruhte. F: Wie hat der Angriff begonnen?
A: Über CVE-2025-3248: Eine Sicherheitslücke in Langflow, einem Open-Source-Framework für KI-Agenten, die eine nicht authentifizierte Remote-Codeausführung ermöglicht und Versionen vor 1.3.0 betrifft. Frage: Hätte das Opfer das Lösegeld zahlen können, um seine Daten zurückzubekommen? A: Nein. Der Verschlüsselungsschlüssel wurde spontan generiert und weder gespeichert noch übertragen, sodass unabhängig von einer etwaigen Zahlung kein Schlüssel zur Wiederherstellung zur Verfügung stand.
F: Worin unterscheidet sich diese Ransomware von herkömmlicher Ransomware? A: Die einzelnen Techniken waren nicht neu. Auffällig waren jedoch die Geschwindigkeit und die Anpassungsfähigkeit: Der Agent erkannte einen fehlgeschlagenen Anmeldeversuch und korrigierte ihn innerhalb von 31 Sekunden – ein Tempo, das eher der Geschwindigkeit einer Maschine entspricht als dem typischen, vom Menschen bestimmten Verhalten eines Angreifers. Frage: Was sollten Sicherheits- und Wiederherstellungsteams daraus lernen?
A: Diese Wiederherstellungsplanung muss über Anwendungsdaten hinausgehen und auch Konfigurationsspeicher, Service-Discovery-Plattformen, Geheimnisse und Identitätssysteme umfassen – also genau jene Ebene, auf die JadePuffer abzielte, um maximalen Schaden anzurichten. Chris Bevil ist Principal Portfolio Marketing Manager bei Commvault.