Punti di forza
- JadePuffer è il nome che i ricercatori di sicurezza di Sysdig hanno dato a quella che hanno definito la prima operazione di ransomware documentata gestita dall’inizio alla fine da un agente di intelligenza artificiale autonomo, anziché da un essere umano che utilizza un toolkit.
- Le singole tecniche non erano nuove. Ciò che è cambiato è stata la velocità di esecuzione: l’agente ha concatenato operazioni di ricognizione, furto di credenziali, movimento laterale e crittografia distruttiva, correggendo un tentativo di accesso fallito in 31 secondi.
- L’agente ha generato una propria chiave di crittografia, che però non ha mai memorizzato né trasmesso. Il pagamento del riscatto non avrebbe consentito il recupero dei dati.
- Il vero danno ha colpito lo stato di configurazione e i sistemi del piano di controllo, non solo i file, ovvero proprio quel livello che la maggior parte dei piani di ripristino non copre.
- Riprendersi da un attacco come questo significa dimostrare che l’azienda è in grado di riprendere le operazioni in tutta sicurezza, non solo di ripristinare un backup.
Cosa è successo
A metà del 2026, i ricercatori di sicurezza di Sysdig hanno documentato una campagna di estorsione che ritengono essere la prima nel suo genere: un’operazione di ransomware condotta interamente da un agente basato su un modello linguistico di grandi dimensioni, con un coinvolgimento minimo da parte di operatori umani. L’hanno chiamata JadePuffer.
Il punto di accesso era ben noto. L’autore dell’attacco ha sfruttato la vulnerabilità CVE-2025-3248, una falla che consentiva l’esecuzione di codice remoto senza autenticazione in Langflow, un framework open source per la creazione di flussi di lavoro di agenti di intelligenza artificiale, in una versione precedente alla 1.3.0. Da lì, l’agente ha effettuato l’enumerazione dell’host, ha cercato credenziali tra i provider di servizi “cloud”, i fornitori di modelli di intelligenza artificiale e i database, e ha scaricato in modo invisibile il database di supporto della stessa piattaforma.
Ciò che è accaduto in seguito è la parte su cui vale la pena soffermarsi. L’agente ha eseguito una scansione della rete interna, ha individuato un archivio di oggetti esposto e ha estratto i file di stato e di configurazione di Terraform. Ha impostato un’attività pianificata per comunicare con la base ogni 30 minuti. Successivamente ha effettuato un pivot verso un sistema di produzione separato che utilizzava MySQL e Alibaba Nacos, una piattaforma di configurazione e individuazione dei servizi comunemente utilizzata nelle architetture a microservizi.
Una volta all’interno, l’agente ha tentato di creare un account amministratore in Nacos. Il tentativo è fallito. Trentuno secondi dopo, aveva individuato la causa dell’errore ed era riuscito nel suo intento utilizzando un approccio diverso. Ha quindi utilizzato le funzioni di gestione dei file di MySQL per verificare se fosse possibile ottenere privilegi più elevati, prima di crittografare oltre 1.300 record di configurazione, eliminare le tabelle originali e lasciare una richiesta di riscatto.
La chiave di crittografia è stata generata al momento, visualizzata una sola volta e non è mai stata memorizzata in alcun luogo da cui l’autore dell’attacco potesse recuperarla. Che ciò sia stato intenzionale o meno, il risultato per la vittima è lo stesso: non c’era alcun modo per tornare indietro tramite l’autore dell’attacco o una chiave di decrittografia, indipendentemente dal fatto che il riscatto fosse stato pagato o meno. Il ripristino dipenderebbe da backup integri, dalla ricostruzione del sistema o da punti di ripristino convalidati.
Perché i ricercatori lo definiscono «agente-based»
Nessuna delle singole tecniche qui descritte è nuova. Sfruttare una vulnerabilità CVE non corretta, raccogliere credenziali, eseguire scansioni per il movimento laterale, crittografare i dati a scopo di estorsione: i team di sicurezza hanno già visto tutte queste tecniche in passato. Ciò che ha indotto Sysdig a classificare l’operatore come “agentico” anziché come un aggressore convenzionale è il modo in cui le varie fasi si incastrano tra loro.
L’agente non seguiva uno schema prestabilito. Osservava i risultati e si adattava di conseguenza. Quando si aspettava una risposta JSON e riceveva invece un XML, cambiava approccio e proseguiva. Quando il suo primo tentativo di creare un account amministratore fallì, individuò la causa specifica dell’errore e provò una soluzione diversa, il tutto in meno di un minuto.
I ricercatori hanno inoltre individuato dei commenti inseriti nei payload, che spiegavano gli obiettivi e i passaggi successivi con un linguaggio semplice: un modello più coerente con il ragionamento di un modello linguistico su larga scala (LLM) nell’esecuzione di un compito piuttosto che con quello di un essere umano che copia e incolla un kit di exploit già noto. I resoconti pubblici non hanno confermato quale modello o quale “piattaforma” abbia guidato l’attacco. Ciò che è certo è il comportamento: qualcosa ha ragionato, agito, si è scontrato con un ostacolo e ha corretto la rotta più rapidamente di quanto possa muoversi la maggior parte delle risposte agli incidenti condotte da esseri umani.
Il problema del ripristino che troppi framework continuano a trascurare
La maggior parte delle strategie dei ransomware si basa su un presupposto specifico: i tuoi file sono stati crittografati, e la domanda è se sia possibile ripristinarli da un backup integro o se sia necessario negoziare una chiave di decrittografia.
JadePuffer smentisce tale presupposto in due modi. Innanzitutto, non c’era alcuna chiave di decrittografia da negoziare. In secondo luogo, il danno non riguardava solo i dati. Riguardava il livello di configurazione e il piano di controllo sottostanti ai dati: la piattaforma di service discovery, le informazioni riservate in essa contenute, lo stato di Terraform che descriveva come fosse strutturata l’infrastruttura e le credenziali sparse in ogni sistema che l’agente aveva toccato lungo il percorso.
Si tratta di un problema di ripristino più complesso rispetto al semplice “ripristino del database”. Un ripristino pulito dei file in un ambiente caratterizzato da credenziali aggiornate ma non verificate, deviazioni di configurazione non controllate e un livello di identità che nessuno ha sottoposto a nuova verifica non costituisce in realtà un ripristino pulito. Si tratta semplicemente di una copia aggiornata dei dati all’interno di un sistema di cui non ci si può ancora fidare.
Cosa significa questo per la vostra strategia di resilienza
JadePuffer offre un’anteprima della domanda a cui ogni piano di ripristino dovrà prima o poi rispondere: è possibile riprendere le operazioni quando un aggressore ha compromesso non solo i dati, ma anche l’identità, la configurazione e i sistemi del piano di controllo da cui tali dati dipendono?
Alcuni spunti da cui partire:
Considerate i sistemi di configurazione e di controllo come elementi critici per la Recovery, non solo le applicazioni. Le piattaforme di service discovery, gli archivi di secret e lo stato dell’infrastruttura come codice sono fondamentali per il business tanto quanto i database che configurano. Se oggi non sono inclusi nel vostro piano di Recovery, questa è la prima lacuna da colmare.
Integrate la gestione delle credenziali nel processo di ripristino, non dopo di esso. Il ripristino di un carico di lavoro che reintroduca credenziali compromesse non pone fine all’incidente, ma ne azzera il conteggio. Si tratta della stessa disciplina che Commvault applica oggi all’infrastruttura delle identità: valutazione delle vulnerabilità per individuare le esposizioni prima che lo faccia un aggressore, monitoraggio in tempo reale per rilevare le modifiche man mano che avvengono e rollback per annullare le modifiche non autorizzate senza dover ricostruire tutto da zero.
Eseguite la convalida prima del ripristino, non dopo. Un punto di ripristino è utile solo se si ha la certezza che sia integro. È questa la logica alla base di Commvault Cleanroom™: testare e convalidare i dati in un ambiente isolato prima che tornino in produzione, anziché scoprirlo solo dopo una nuova infezione.
Preparatevi a un attacco al piano di controllo, non solo a un evento di crittografia dei file. Un percorso di ripristino concepito esclusivamente per “file crittografati, ripristino da backup” non reggerà di fronte a un incidente come questo. La domanda più utile, e quella al centro delle ResOps (operazioni di resilienza) come disciplina operativa, è: cosa occorre per raggiungere un livello minimo di operatività quando sono proprio i sistemi sottostanti alle vostre applicazioni ad essere stati colpiti?
Nulla di tutto ciò richiede di considerare l’IA agentica come una minaccia senza precedenti che imponga di ripartire da zero. È invece necessario estendere la stessa disciplina di resilienza già applicata all’identità e ai dati fino al livello di configurazione e al piano di controllo, che gli attacchi agentici stanno ora prendendo di mira direttamente. Scopri di più sull’approccio di Commvault alla resilienza delle identità e alla convalida del ripristino pulito.
Domande frequenti
D: Che cos’è JadePuffer? A: JadePuffer è il nome che Sysdig ha dato a quella che ha definito la prima campagna di ransomware documentata gestita interamente da un agente di intelligenza artificiale autonomo, anziché da un hacker umano che utilizza manualmente un toolkit.
D: Gli autori dell’attacco hanno utilizzato un modello di IA specifico, come ChatGPT o Claude? R: Le notizie riportate dai media non hanno confermato quale modello o quale “piattaforma” sia stata utilizzata. L’agente ha cercato chiavi API di diversi fornitori di IA, il che dimostra un interesse per quel tipo di accesso, ma non permette di identificare quale sia stato il motore dell’attacco stesso. D: Come è iniziato l’attacco?
R: Tramite CVE-2025-3248, è stata individuata una vulnerabilità che consente l’esecuzione remota di codice senza autenticazione in Langflow, un framework open source per agenti di intelligenza artificiale, che interessa le versioni precedenti alla 1.3.0. D: La vittima avrebbe potuto pagare il riscatto per recuperare i propri dati? A: No. La chiave di crittografia è stata generata al momento e non è mai stata memorizzata né trasmessa, quindi non era disponibile alcuna chiave da recuperare, indipendentemente dal pagamento.
D: In che cosa si differenzia questo ransomware dai tipici ransomware? R: Le singole tecniche non erano nuove. Ciò che ha colpito è stata la velocità e l’adattabilità: l’agente ha individuato un tentativo di accesso fallito e lo ha corretto in 31 secondi, un ritmo più vicino alla velocità di una macchina che al tipico comportamento di un aggressore umano. D: Qual è il messaggio che i team addetti alla sicurezza e al ripristino dovrebbero trarre da tutto ciò?
R: Tale pianificazione del ripristino deve estendersi oltre i dati delle applicazioni fino a includere gli archivi di configurazione, le piattaforme di individuazione dei servizi, le informazioni riservate e i sistemi di identità, ovvero il livello che JadePuffer ha effettivamente preso di mira per causare il massimo danno. Chris Bevil è responsabile senior del marketing di portafoglio presso Commvault.