Badacze z firmy Sysdig udokumentowali pierwszy w pełni autonomiczny atak ransomware, w którym każdy etap od włamania po żądanie okupu wykonał model językowy bez udziału operatora. Cyfrowy napastnik, nazwany przez analityków JADEPUFFER, sam znalazł podatny serwer, wykradł dane logowania, przeniósł się do systemu produkcyjnego i zniszczył bazę danych ofiary.
Kluczowe fakty:
- Badacze z firmy Sysdig udokumentowali pierwszy w pełni autonomiczny atak ransomware, nazwany JADEPUFFER, w którym model językowy samodzielnie przeprowadził każdy etap ataku – od włamania, przez kradzież danych logowania, aż po zniszczenie bazy danych ofiary i żądanie okupu.
- Punktem wejścia była luka CVE-2025-3248 w popularnym frameworku Langflow, umożliwiająca uruchomienie dowolnego skryptu Python bez logowania – mimo dostępnej poprawki od wersji 1.3.0 i wpisania podatności na listę aktywnie wykorzystywanych przez CISA, wiele instalacji nie zostało zaktualizowanych.
- W pierwszej fazie ataku agent przeszukał serwer w poszukiwaniu kluczy API dostawców AI, danych logowania do chmury oraz portfeli kryptowalut, a następnie włamał się do magazynu obiektów MinIO przy użyciu nigdy niezmienionych fabrycznych danych logowania (minioadmin:minioadmin).
Do tej pory ransomware zawsze miało swojego autora. Ktoś pisał skrypt, ktoś siedział przy klawiaturze i podejmował decyzje, kiedy coś nie działało zgodnie z planem. Zespół Sysdig Threat Research Team twierdzi, że ta zasada właśnie przestała obowiązywać.
Znajdź dostawcę, partnera lub narzędzie dla swojego biznesu, a jeśli prowadzisz firmę, która w swoim DNA ma AI, skorzystaj z możliwości bezpłatnego dodania swojej firmy.
Jak wyglądał atak
Punktem wejścia była luka CVE-2025-3248 w Langflow, popularnym otwartoźródłowym frameworku do budowy aplikacji opartych na modelach językowych. Błąd w mechanizmie walidacji kodu pozwalał uruchomić dowolny skrypt Python na serwerze bez logowania. Poprawkę wydano w wersji 1.3.0, a amerykańska agencja CISA wpisała lukę na listę aktywnie wykorzystywanych podatności już w maju, mimo to wiele instalacji nigdy nie zostało zaktualizowanych.
Po uzyskaniu dostępu agent działał w dwóch fazach:
- Faza pierwsza: model przeszukał zainfekowany serwer w poszukiwaniu kluczy API dostawców AI (OpenAI, Anthropic, DeepSeek, Gemini), danych logowania do chmury z wyraźnym uwzględnieniem chińskich dostawców (Alibaba, Aliyun, Tencent, Huawei), a także portfeli kryptowalut i haseł do baz danych. Wydobył zawartość bazy Postgres samego Langflow, przeszukał sieć wewnętrzną i włamał się do magazynu obiektów MinIO przy pomocy fabrycznych, nigdy niezmienionych danych logowania (minioadmin:minioadmin). Na koniec zainstalował mechanizm trwałego dostępu, czyli zadanie cykliczne łączące się z serwerem atakującego co 30 minut.
- Faza druga: agent przeniósł się na oddzielny, właściwy cel: serwer produkcyjny z bazą MySQL i usługą konfiguracyjną Nacos od Alibaby. Wykorzystał tam znaną od 2021 roku lukę uwierzytelniania (CVE-2021-29441) oraz publicznie znany od 2020 roku domyślny klucz podpisujący tokeny JWT, żeby stworzyć konto administratora z uprawnieniami do bazy.
Najbardziej wymowny moment nastąpił, gdy pierwsza próba utworzenia konta administracyjnego się nie powiodła. Model przeanalizował błąd, zdiagnozował jego przyczynę (problem ze ścieżką dostępu do biblioteki bcrypt) i w ciągu 31 sekund wysłał poprawiony, kilkunastoliniowy kod naprawczy, który usunął wadliwe konto, wygenerował hash od nowa i odtworzył dostęp administracyjny. Sysdig podaje dokładne znaczniki czasu tej sekwencji: od nieudanego logowania o 19:34:36 UTC do potwierdzonego sukcesu o 19:35:18 UTC.
Piszę o sztucznej inteligencji od dawna i rzadko trafiam na przykład, który tak dobrze pokazuje, gdzie leży dziś realne ryzyko. Nie chodzi o żaden przełomowy exploit. JADEPUFFER nie użył niczego, czego nie znalibyśmy wcześniej z podręcznika pentestera. Problem w tym, że model językowy potrafił samodzielnie połączyć te znane sztuczki w kompletną operację, zdiagnozować własny błąd i naprawić go szybciej niż doświadczony administrator zdążyłby otworzyć terminal. To nie jest jeszcze koniec świata, ale to pierwszy udokumentowany dowód, że próg wejścia do cyberprzestępczości spadł do kosztu wynajęcia agenta AI. Warto zadać sobie pytanie, ile firm w Polsce ma dziś w swojej infrastrukturze zapomniany serwer testowy z domyślnym hasłem administratora wystawiony do internetu.
Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl
Chcesz czytać więcej treści związanych z AI?
Dodaj AIPORT.pl do preferowanych źródeł Google
Zniszczenie bez możliwości odzyskania danych
Ostatni etap ataku był czystą destrukcją. Agent zaszyfrował 1342 elementy konfiguracyjne Nacos przy pomocy funkcji AES_ENCRYPT w MySQL, usunął oryginalne tabele wraz z historią i utworzył tabelę z żądaniem okupu, zawierającą adres portfela Bitcoin i kontakt na Proton Mail. Kluczowy szczegół: klucz szyfrujący wygenerowano losowo, wypisano jeden raz na ekranie i nigdy nie zapisano ani nie wysłano do atakującego. Ofiara nie odzyska danych nawet po zapłaceniu okupu.
Analitycy Sysdig zwracają uwagę, że sam kod ataku zawierał komentarze w języku naturalnym tłumaczące, dlaczego model podejmuje daną decyzję, na przykład które bazy danych mają „najwyższy zwrot z inwestycji” do usunięcia. Ludzcy operatorzy nie piszą takich adnotacji do jednorazowych skryptów, ale generowanie kodu przez modele językowe robi to niemal odruchowo. Ciekawostką jest sam adres portfela Bitcoin w żądaniu okupu. To dokładnie ten sam adres, który od lat służy jako przykładowy w dokumentacji deweloperskiej Bitcoina, więc mógł zostać przez model po prostu „wyhalucynowany” z danych treningowych. Sysdig przyznaje, że bez wglądu w konfigurację agenta nie da się tego jednoznacznie rozstrzygnąć.
Kontekst rynkowy
To nie pierwszy przypadek ataku z udziałem autonomicznych agentów AI, ale pierwszy, w którym badacze nie znaleźli śladu bezpośredniej ingerencji człowieka na żadnym etapie. W listopadzie 2025 roku Anthropic ujawniło szeroko zakrojoną kampanię szpiegowską przypisywaną grupie powiązanej z Chinami, w której model Claude wykonał od 80 do 90 procent działań taktycznych, jednak człowiek nadal kierował operacją na poziomie strategicznym. Wcześniej, latem 2025 roku, głośno było o PromptLock, opisywanym jako pierwsze ransomware oparte na AI, które ostatecznie okazało się laboratoryjnym prototypem badawczym z NYU, a nie realnym atakiem. Raport International AI Safety Report 2026 potwierdza, że systemy AI potrafią już samodzielnie skanować sieci pod kątem luk w warunkach laboratoryjnych, ale do tej pory nie odnotowano w świecie rzeczywistym w pełni autonomicznego ataku od początku do końca, dopóki nie pojawił się JADEPUFFER.
Co to oznacza dla polskich firm?
CERT Polska obsługuje obecnie od trzech do pięciu poważnych incydentów ransomware tygodniowo, a liczba zgłoszeń naruszeń danych osobowych w kraju wzrosła w ciągu dwóch lat z około 10 tysięcy do ponad 22 tysięcy rocznie. Raport ESET i DAGMA Bezpieczeństwo IT „Cyberportret polskiego biznesu 2026″ wskazuje, że 58 procent pracowników nie uczestniczyło w szkoleniu z cyberbezpieczeństwa od co najmniej pięciu lat, co pokazuje, że najsłabszym ogniwem wciąż pozostaje człowiek, a nie technologia.
Problem opisany przez Sysdig ma bezpośrednie przełożenie na polskie realia. Frameworki takie jak Langflow zyskują popularność również w polskich zespołach budujących wewnętrzne narzędzia oparte na AI, często stawiane szybko, bez segmentacji sieci i z kluczami API zapisanymi bezpośrednio w środowisku. Kilka tygodni wcześniej badacze Check Point Research ujawnili podobny łańcuch podatności w pokrewnym frameworku LangGraph, który mógł umożliwić przejęcie kontroli nad serwerami obsługującymi agentów AI. To sygnał, że cała kategoria narzędzi do budowy agentów wymaga dziś takiego samego traktowania jak każda inna infrastruktura produkcyjna, z pełnym audytem, segmentacją i zarządzaniem sekretami.
Rekomendacje Sysdig są proste, ale wymowne w swojej banalności: łatać Langflow i nie wystawiać punktów wykonania kodu do internetu, nie trzymać kluczy API i danych logowania do chmury w środowisku serwerów AI, zmieniać domyślne klucze podpisujące w Nacos i nigdy nie łączyć go z bazą danych na koncie root, a konta administracyjne baz danych trzymać z dala od publicznego internetu.
Za każdą polską firmą AI stoi konkretny człowiek z imieniem i nazwiskiem, często ten sam w kilku miejscach naraz, i to właśnie ludzie, nie tabelki finansowania, są prawdziwym bohaterem tego artykułu.
Sygnał na przyszłość
Zespół Sysdig nazywa JADEPUFFER sygnałem ostrzegawczym, nie kryzysem. Żadna z użytych technik nie była nowa ani wyrafinowana. Znaczenie ma to, że model językowy potrafił samodzielnie połączyć je w kompletną operację przeciwko zaniedbanej infrastrukturze, praktycznie bez kosztów dla atakującego, zwłaszcza jeśli agent działa na wykradzionych zasobach obliczeniowych. Badacze przewidują, że skala i częstotliwość takich kampanii będzie rosnąć wraz z dojrzewaniem narzędzi agentowych, a serwery aplikacyjne wystawione do internetu, niezabezpieczone magazyny konfiguracji i konta administracyjne baz danych staną się pierwszymi celami nowej fali ataków.
Źródła i metodologia
Artykuł powstał na podstawie analizy redakcji AIPORT.pl oraz raportu technicznego Sysdig Threat Research Team z dnia 01.07.2026, a także materiałów SecurityWeek, The Hacker News, SC Media oraz raportu International AI Safety Report 2026. Dane dotyczące incydentów ransomware w Polsce pochodzą z komentarza CERT Polska cytowanego przez WNP.pl oraz z raportu ESET i DAGMA Bezpieczeństwo IT opisanego przez ERP View. Informacje o podatności w LangGraph pochodzą z ITwiz. Komentarz redakcyjny i ocena kontekstu branżowego: Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl. Artykuł będzie aktualizowany w miarę pojawiania się nowych informacji o autonomicznych atakach opartych na sztucznej inteligencji.
