Pontos principais
- JadePuffer é o nome que os pesquisadores de segurança da Sysdig deram ao que consideraram ser a primeira operação de ransomware documentada conduzida do início ao fim por um agente de IA autônomo, e não por um ser humano utilizando um conjunto de ferramentas.
- As técnicas em si não eram novas. O que mudou foi a velocidade da execução: o agente encadeou ações de reconhecimento, roubo de credenciais, movimentação lateral e criptografia destrutiva, corrigindo uma tentativa malsucedida de login em 31 segundos.
- O agente gerou sua própria chave de criptografia e, em seguida, nunca a armazenou nem a transmitiu. Pagar o resgate não teria restaurado os dados.
- Os danos reais afetaram o estado da configuração e os sistemas do plano de controle, e não apenas os arquivos — que é exatamente a camada que a maioria dos planos de recuperação não abrange.
- Recuperar-se de um ataque como esse significa comprovar que a empresa pode retomar suas operações com segurança, e não apenas restaurar um backup.
O que aconteceu
Em meados de 2026, pesquisadores de segurança da Sysdig documentaram uma campanha de extorsão que consideram ser a primeira do gênero: uma operação de ransomware conduzida de ponta a ponta por um agente baseado em um grande modelo de linguagem, com participação humana mínima no comando. Eles a batizaram de JadePuffer.
O ponto de entrada era conhecido. O invasor explorou a vulnerabilidade CVE-2025-3248, uma falha de execução remota de código sem autenticação no Langflow — uma estrutura de código aberto para a criação de fluxos de trabalho de agentes de IA —, que estava executando uma versão anterior à 1.3.0. A partir daí, o agente enumerou o host, procurou credenciais em provedores de nuvem, fornecedores de modelos de IA e bancos de dados e, discretamente, fez o dump do próprio banco de dados de apoio do site da plataforma.
O que aconteceu a seguir é a parte que merece atenção. O agente escaneou a rede interna, encontrou um armazenamento de objetos exposto e extraiu os arquivos de estado e configuração do Terraform. Ele configurou uma tarefa agendada para se comunicar com o servidor de comando a cada 30 minutos. Em seguida, mudou de alvo para um sistema de produção separado que rodava MySQL e Alibaba Nacos, uma plataforma de configuração e descoberta de serviços comum em arquiteturas de microsserviços.
Uma vez dentro do sistema, o agente tentou criar uma conta de administrador no Nacos. A tentativa falhou. Trinta e um segundos depois, ele havia diagnosticado a falha e conseguiu o resultado desejado com uma abordagem diferente. Em seguida, utilizou as funções de manipulação de arquivos do MySQL para verificar se poderia avançar ainda mais, antes de criptografar mais de 1.300 registros de configuração, excluir as tabelas originais e deixar uma nota de resgate para trás.
A chave de criptografia foi gerada dinamicamente, exibida uma única vez e nunca armazenada em nenhum local onde o invasor pudesse recuperá-la. Independentemente de isso ter sido intencional ou não, o resultado para a vítima é o mesmo: não havia como reverter a situação por meio do invasor ou de uma chave de descriptografia, independentemente de o resgate ter sido pago ou não. A recuperação dependeria de backups válidos, da reconstrução do sistema ou de pontos de recuperação validados.
Por que os pesquisadores estão chamando isso de “agênico”
Nenhuma das técnicas individuais aqui mencionadas é nova. Explorar uma vulnerabilidade CVE sem patch, coletar credenciais, realizar varreduras para movimentação lateral, criptografar dados para extorsão: as equipes de segurança já se depararam com todas elas antes. O que levou a Sysdig a classificar o operador como “agênico”, em vez de um invasor convencional, foi a forma como as etapas se encaixam.
O agente não seguiu um roteiro fixo. Ele observou os resultados e se adaptou. Quando esperava uma resposta em JSON e recebeu XML, mudou sua abordagem e continuou. Quando sua primeira tentativa de criar uma conta de administrador falhou, ele diagnosticou a falha específica e tentou algo diferente, em menos de um minuto.
Os pesquisadores também encontraram comentários incorporados nas cargas úteis, explicando os alvos e os próximos passos em linguagem simples — um padrão mais consistente com o raciocínio de um LLM ao realizar uma tarefa do que com o de um ser humano copiando e colando um kit de exploração conhecido. As reportagens da mídia não confirmaram qual modelo ou plataforma esteve por trás do ataque. O que está confirmado é o comportamento: algo que raciocinou, agiu, esbarrou em um obstáculo e corrigiu o rumo mais rapidamente do que a maioria das respostas a incidentes conduzidas em ritmo humano consegue agir.
O problema da recuperação que muitas estruturas ainda não abordam
A maioria dos manuais sobre ransomware se baseia em uma suposição específica: algo criptografou seus arquivos, e a questão é se você consegue restaurar um backup válido ou se precisa negociar uma chave de descriptografia.
O JadePuffer rompe essa suposição de duas maneiras. Primeiro, não havia chave de descriptografia a ser negociada. Segundo, o dano não se limitou apenas aos dados. Ele atingiu a camada de configuração e o plano de controle subjacente aos dados: a plataforma de descoberta de serviços, os segredos que ela guardava, o estado do Terraform que descrevia como a infraestrutura se encaixava e as credenciais espalhadas por todos os sistemas que o agente acessou ao longo do caminho.
Esse é um problema de recuperação mais complexo do que simplesmente “restaurar o banco de dados”. Uma restauração limpa de arquivos em um ambiente com credenciais renovadas, mas não verificadas, desvios de configuração não revisados e uma camada de identidade que ninguém reauditou não é, na verdade, uma recuperação limpa. Trata-se de uma nova cópia dos dados hospedada em um sistema no qual ainda não se pode confiar.
O que isso significa para sua estratégia de resiliência
O JadePuffer é um prenúncio da questão que todo plano de recuperação terá, mais cedo ou mais tarde, que responder: é possível retomar as operações quando um invasor tiver afetado não apenas seus dados, mas também a identidade, a configuração e os sistemas do plano de controle dos quais esses dados dependem?
Alguns pontos para começar:
Trate os sistemas de configuração e do plano de controle como essenciais para a Recovery, não apenas os aplicativos. Plataformas de descoberta de serviços, armazenamentos de segredos e o estado da infraestrutura como código são tão críticos para os negócios quanto os bancos de dados que eles configuram. Se eles não estiverem em seu plano de Recovery hoje, essa é a primeira lacuna a ser preenchida.
Incorpore a higiene das credenciais ao processo de recuperação, e não após ele. Restaurar uma carga de trabalho que reintroduz segredos comprometidos não encerra o incidente; isso apenas reinicia o contador de tempo do incidente. Essa é a mesma disciplina que a Commvault aplica atualmente à infraestrutura de identidade: avaliação de vulnerabilidades para identificar exposições antes que um invasor o faça, auditoria em tempo real para detectar alterações à medida que ocorrem e reversão para desfazer alterações não autorizadas sem precisar reconstruir tudo do zero.
Valide antes de restaurar, não depois. Um ponto de restauração só é útil se você tiver certeza de que está livre de contaminação. Essa é a lógica por trás do Commvault Cleanroom™: testar e validar os dados em um ambiente isolado antes que eles retornem à produção, em vez de descobrir o problema após uma nova contaminação.
Planeje-se para uma violação do plano de controle, não apenas para um evento de criptografia de arquivos. Um roteiro de recuperação elaborado apenas para “arquivos criptografados e restauração a partir de backup” não será suficiente diante de um incidente como esse. A questão mais relevante — e aquela que está no centro das ResOps (operações de resiliência) como disciplina operacional — é o que é necessário para atingir um nível mínimo viável de operações quando os sistemas subjacentes às suas aplicações são os que foram afetados.
Nada disso exige que a IA agentiva seja tratada como uma ameaça sem precedentes que exija começar do zero. O que é necessário é estender a mesma disciplina de resiliência que já se aplica à identidade e aos dados até a camada de configuração e do plano de controle, que agora é alvo direto dos ataques agentivos. Saiba mais sobre como a Commvault aborda a resiliência de identidade e a validação da recuperação sem perdas.
Perguntas frequentes
P: O que é o JadePuffer? R: JadePuffer é o nome que a Sysdig deu ao que considerou ser a primeira campanha de ransomware documentada conduzida de ponta a ponta por um agente de IA autônomo, em vez de um invasor humano operando manualmente um conjunto de ferramentas.
P: Os invasores utilizaram algum modelo específico de IA, como o ChatGPT ou o Claude? R: As reportagens divulgadas até o momento não confirmaram qual modelo ou plataforma foi utilizada. O agente procurou por chaves de API de vários provedores de IA, o que demonstra interesse nesse tipo de acesso, mas não identifica o que realmente esteve por trás do ataque em si. P: Como começou o ataque?
R: Por meio da CVE-2025-3248, uma vulnerabilidade de execução remota de código sem autenticação no Langflow, uma estrutura de código aberto para agentes de IA, que afeta versões anteriores à 1.3.0. P: A vítima poderia ter pago o resgate para recuperar seus dados? R: Não. A chave de criptografia foi gerada dinamicamente e nunca foi armazenada nem transmitida; portanto, não havia nenhuma chave disponível para recuperação, independentemente do pagamento.
P: O que diferencia esse ransomware dos demais? R: As técnicas em si não eram novas. O que se destacou foi a velocidade e a adaptabilidade: o agente diagnosticou uma tentativa fracassada de login e corrigiu o problema em 31 segundos, um ritmo mais próximo da velocidade de uma máquina do que do comportamento típico de um invasor, que segue o ritmo humano. P: O que as equipes de segurança e recuperação devem aprender com isso?
R: Esse planejamento de recuperação precisa ir além dos dados das aplicações, abrangendo também os repositórios de configuração, as plataformas de descoberta de serviços, os segredos e os sistemas de identidade — a camada que o JadePuffer realmente visou para causar o máximo de danos. Chris Bevil é gerente sênior de marketing de portfólio na Commvault.