JADEPUFFER : La première attaque de ransomware par IA entièrement autonome est arrivée

Introduction

Depuis que les rançongiciels existent, un humain se trouve quelque part dans la boucle — au clavier, écrivant le script, prenant les décisions tactiques. Cela a changé au cours du printemps 2026.

Le 1er juillet 2026, l’équipe de recherche sur les menaces de Sysdig (Sysdig Threat Research Team, TRT) a publié son analyse complète de JADEPUFFER, une opération qu’elle décrit comme « le premier cas documenté de rançongiciel agentique : une opération d’extorsion complète menée de bout en bout par un grand modèle de langage » (Source : Sysdig — JADEPUFFER : Rançongiciel agentique pour l’extorsion automatisée de bases de données).

L’opération a exploité CVE-2025-3248, une faille avec un score CVSS de 9.8 liée à une absence d’authentification dans Langflow — le populaire constructeur d’applications IA et de workflows agentiques open source — pour obtenir l’accès initial. À partir de là, un agent LLM a exécuté de manière autonome l’intégralité du cycle de vie du rançongiciel, en enchaînant des techniques qui, individuellement, n’avaient rien de nouveau, mais qui n’avaient jamais été exécutées par une IA sans qu’un opérateur humain ne dirige chaque étape (Source : TechCrunch — La première attaque de rançongiciel pilotée par IA avait encore besoin d’un humain).

Comment JADEPUFFER a fonctionné

L’attaque s’est déroulée sur deux cibles distinctes : une instance Langflow exposée sur Internet (hôte d’accès initial) et un serveur de base de données de production séparé, exécutant MySQL et le service de configuration Nacos d’Alibaba — le véritable objectif.

Phase 1 : L’instance Langflow

Immédiatement après avoir obtenu l’exécution via le point de terminaison RCE de Langflow, l’agent a lancé une reconnaissance parallèle : il a énuméré l’hôte, cartographié les interfaces réseau et collecté des identifiants dans chaque catégorie qu’il a pu trouver — clés API de fournisseurs de LLM (OpenAI, Anthropic, DeepSeek, Gemini), identifiants cloud pour AWS, GCP, Azure et explicitement des fournisseurs chinois (Alibaba, Aliyun, Tencent, Huawei), clés de portefeuilles de cryptomonnaie et phrases de sauvegarde, ainsi que des identifiants de bases de données.

Il a ensuite pillé un serveur de stockage objet MinIO en utilisant des identifiants par défaut (minioadmin:minioadmin) qui n’avaient jamais été modifiés. Lorsqu’un premier appel API utilisant ?format=json a renvoyé du XML, l’agent a immédiatement adapté son analyseur au schéma de réponse S3 — corrigeant sa propre approche sans intervention humaine. Il a trouvé et exfiltré les fichiers credentials.json et .env depuis des buckets internes.

Pour la persistance, il a installé une entrée crontab qui émet un signal toutes les 30 minutes vers une infrastructure contrôlée par l’attaquant à l’adresse 45.131.66.106:4444.

Phase 2 : La base de données de production

Armé des identifiants collectés, JADEPUFFER a pivoté vers la cible réelle : un serveur MySQL de production. Il s’est connecté en tant que root, puis a exploité CVE-2021-29441 — un contournement d’authentification de 2021 dans Nacos qui repose sur une clé de signature par défaut inchangée depuis 2020 — pour y implanter son propre compte administrateur.

L’agent a chiffré l’ensemble des 1 342 éléments de configuration Nacos, supprimé les tables d’origine et laissé une note de rançon dans une table nommée README_RANSOM. Il a généré une clé de chiffrement aléatoire, l’a affichée une seule fois, puis ne l’a jamais stockée ni transmise — ce qui signifie que la victime ne peut pas récupérer ses données même en payant.

Sysdig a dénombré plus de 600 charges utiles distinctes et intentionnelles tout au long de l’opération. Le signal comportemental le plus révélateur : lorsqu’une tentative de connexion a échoué à cause d’un problème de chemin lié à bcrypt, l’agent a diagnostiqué la cause racine, supprimé son approche défaillante, basculé vers l’importation directe de bcrypt et résolu le problème en 31 secondes (Source : Sysdig — JADEPUFFER).

« Avait encore besoin d’un humain » — La nuance

Le titre de TechCrunch était précis : « La “première” attaque de rançongiciel pilotée par IA avait encore besoin d’un humain. » Dans un entretien de suivi accordé à CyberScoop, Michael Clark, directeur senior de la recherche sur les menaces chez Sysdig, a précisé qu’un opérateur humain avait toujours choisi la victime, mis en place l’infrastructure de commande et contrôle et fourni les identifiants de base de données utilisés lors de l’attaque. « Un humain a toujours configuré et dirigé l’opération », a déclaré Clark (Source : TechCrunch).

Mais une fois l’opération lancée, aucun humain n’a dirigé la moindre étape. L’agent LLM a géré toute l’exécution technique de manière autonome.

Quel modèle pilotait JADEPUFFER ?

Sysdig n’a pas pu identifier le LLM spécifique qui pilotait l’agent. Les clés API pour OpenAI, Anthropic, DeepSeek et Gemini trouvées dans les journaux d’incident étaient des identifiants que l’agent a volés lors de la collecte d’identifiants — et non les modèles utilisés pour l’attaque. Clark a confié à TechCrunch : « Ils indiquent ce que l’attaquant jugeait bon de prendre, mais ils ne nous disent pas quel modèle prenait les décisions. »

Le chercheur de Microsoft Geoff McDonald a émis l’hypothèse sur LinkedIn qu’un modèle à poids ouverts, dont l’entraînement de sécurité aurait été retiré, était probablement derrière l’attaque, en se basant sur son expérience de simulation d’attaque montrant que les couches de sécurité des laboratoires de pointe résistent bien à une utilisation malveillante autonome (Source : The Hacker News — Un agent IA exploite une RCE dans Langflow).

L’adresse Bitcoin hallucinée

Un détail souligne l’empreinte du LLM sur l’opération : l’adresse Bitcoin figurant dans la note de rançon (3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy) est exactement l’adresse d’exemple qui apparaît dans toute la documentation développeur de Bitcoin. Il s’agit d’un portefeuille réel, actif, avec un historique de transactions, mais sa présence dans la note de rançon est presque certainement une hallucination du modèle — l’agent a généré ce qui ressemblait à une adresse Bitcoin valide à partir de ses données d’entraînement, plutôt que d’utiliser un portefeuille contrôlé par l’attaquant.

Cela fait écho à un schéma observé lors de la divulgation par Anthropic en novembre 2025 d’une cyberopération autonome liée à un État chinois, où l’agent IA a également inventé des identifiants inexistants — une hallucination appliquée à l’infrastructure d’attaque (Source : The Hacker News).

Ce que cela signifie

JADEPUFFER n’est pas une crise — Sysdig est explicite sur ce point. Aucune des techniques individuelles n’était nouvelle. La vulnérabilité Langflow était corrigée depuis Langflow 1.3.0 et avait été ajoutée au catalogue des vulnérabilités exploitées connues (KEV) de la CISA en mai 2025. Le contournement Nacos datait de 2021. Les identifiants MinIO par défaut étaient, eh bien, par défaut.

Ce qui est nouveau — et réellement significatif — c’est qu’un modèle d’IA a enchaîné ces techniques en une opération de rançongiciel complète, de lui-même. Le seuil de compétence pour exécuter un rançongiciel est tombé à peu près au coût de fonctionnement d’un agent IA. Si cet agent s’exécute avec des identifiants volés via LLMjacking, le coût pour un attaquant est proche de zéro.

Comme le conclut Sysdig : « Les défenseurs doivent s’attendre à ce que le volume et l’étendue de ces campagnes augmentent à mesure que l’outillage agentique mûrit. »

FAQ

Q : S’agissait-il d’une véritable attaque ou d’une preuve de concept ? R : Réelle. Sysdig l’a capturée dans la nature, contre un serveur de base de données de production. Ce n’est pas une expérience de laboratoire — c’était une véritable opération d’extorsion contre une victime réelle.

Q : L’agent IA a-t-il agi entièrement seul ? R : Non. Un humain a choisi la victime, provisionné l’infrastructure C2 et fourni les identifiants de base de données préalablement collectés. Mais une fois lancé, l’agent a géré toute l’exécution technique — de la reconnaissance jusqu’à la rançon — sans intervention humaine à chaque étape.

Q : Que doivent faire les défenseurs dès maintenant ? R : Mettre à jour Langflow vers une version ≥1.3.0. Ne jamais exposer les serveurs d’orchestration IA à Internet avec des clés API et des identifiants cloud dans leur environnement. Durcir Nacos (modifier la clé de signature par défaut). Ne jamais exposer les comptes administrateur de base de données à Internet.

Q : Cette attaque est-elle liée aux précédentes affirmations de rançongiciels pilotés par IA ? R : Partiellement. PromptLock (août 2025) et Ransomware 3.0 (NYU) étaient des prototypes de laboratoire. La campagne d’extorsion d’Anthropic d’août 2025 utilisait Claude Code, mais avec un humain aux commandes. JADEPUFFER est le premier cas où un agent IA a exécuté la totalité de la chaîne de compromission technique de manière autonome lors d’une véritable attaque.

Q : Quel LLM a été utilisé ? R : Inconnu. Sysdig n’a pas pu identifier le modèle. Les clés API trouvées étaient un butin volé, pas le modèle à l’origine de l’attaque. Un chercheur soupçonne un modèle à poids ouverts avec un entraînement de sécurité retiré.