Зафіксована перша в історії повністю автономна атака ШІ-вимагача

Експерти компанії Sysdig, що спеціалізується на хмарній кібербезпеці, задокументували інцидент, який назвали першою в історії атакою агента-вимогача. У ході цієї операції керував не людина, а велика мовна модель штучного інтелекту — від проникнення в систему до компрометації сервера та знищення даних.

Джерело зображення: sysdig.com

Дослідники присвоїли агенту назву JadePuffer і заявили, що він зламав ресурс через підключений до інтернету сервер Langflow, експлуатуючи вразливість CVE-2025-3248, після чого розгорнулася повністю автоматизована атака. Корисні навантаження містили міркування, викладені природною мовою, вказують експерти; операція адаптувалася в реальному часі — в одному з випадків шлях від невдалого входу в систему до робочого виправлення шкідливого коду був пройдений за 31 секунду.

Виконавши вхід у систему шляхом експлуатації вразливості CVE-2025-3248, яка дозволяє виконувати на хості довільний код на Python, агент почав сканувати та збирати закриту інформацію, зокрема ключі API китайських ШІ-провайдерів, облікові дані хмарних служб AWS, Azure та Google, криптовалютні гаманці та інформацію для доступу до баз даних. ШІ-агент встановив на сервері Langflow запис crontab, щоб той кожні 30 хвилин звертався до інфраструктури зловмисника.

Передбачуваною метою JadePuffer був окремий доступний з інтернету робочий сервер з базою даних MySQL та службою конфігурації Alibaba Nacos. Агент підключився до відкритого порту сервера MySQL з правами root, причому не вдалося встановити, як він отримав ці облікові дані — на зламаному ресурсі вони були відсутні. Потім JadePuffer з кількох напрямків атакував Nacos, зокрема експлуатуючи вразливість обходу авторизації CVE-2021-29441 та підробку дійсного веб-токена JSON (JWT) з використанням ключа підпису Nacos за замовчуванням; використовуючи доступ до кореневої бази даних, агент впровадив адміністратора бэкдора в резервну базу даних Nacos.

В результаті ШІ-зловмисник зашифрував усі 1342 елементи конфігурації служби Nacos, використовуючи вбудовану функцію шифрування AES MySQL, і створив вимогу про викуп, вказавши біткоїн-гаманець та адресу електронної пошти. На жаль, відновити втрачені дані жертва вже не зможе, навіть якщо перерахувати викуп: спочатку агент видаляв дані з бази точково, а потім став ліквідовувати схеми даних, не створюючи резервної копії, але коментуючи кожну свою дію.

Щоб захиститися від подібних атак, експерти рекомендують оновити Langflow до випуску з виправленням CVE-2025-3248, не відкривати кінцеві точки для перевірки та виконання коду в інтернеті; не відкривати доступ до Nacos з інтернету, змінити ключ за замовчуванням та оновити його до версії, коли потрібно використовувати тільки власний ключ. Особливо складних або унікальних методів злому JadePuffer не використовував, але примітно, що велика мовна модель зв’язала їх у повноцінну операцію проти занедбаної інфраструктури з виходом в інтернет. Таким чином, собівартість кібератак за наявності шкідливих ШІ-агентів значно скорочується — і навіть може падати майже до нуля.

Хочеш дізнатися більше — читай відгуки