JADEPUFFER : la première attaque de ransomware menée entièrement par un agent IA

Six cents charges utiles, zéro frappe humaine

Fin juin 2026, un attaquant que Sysdig appelle JadePuffer s’est introduit dans une instance de Langflow exposée sur Internet — un framework open source pour construire des workflows d’applications pilotées par des LLM — puis a laissé un grand modèle de langage mener le reste de l’opération seul. Selon le rapport technique de Sysdig, l’agent a effectué la reconnaissance, récolté des identifiants cloud et de base de données, s’est déplacé latéralement vers un serveur de production, a exploité une seconde vulnérabilité sans rapport, puis a chiffré plus d’un millier d’enregistrements de configuration — le tout sans qu’un opérateur humain ne tape la moindre commande pendant l’exécution.

Le point d’entrée était CVE-2025-3248, une faille d’absence d’authentification sur le point de terminaison de validation de code de Langflow, qui permet à un attaquant non authentifié d’exécuter du code Python arbitraire sur l’hôte. La faille affiche un score CVSS de 9,8, a été corrigée dans Langflow 1.3.0, et a été ajoutée au catalogue des vulnérabilités exploitées connues de la CISA dès mai 2025 — plus d’un an avant que JadePuffer ne l’utilise. L’écart entre la disponibilité du correctif et cette attaque fait partie de l’histoire : une instance Langflow exposée et non corrigée était toujours accessible publiquement mi-2026.

Une fois à l’intérieur, l’agent a extrait des clés API pour OpenAI, Anthropic, DeepSeek et Gemini, ainsi que des identifiants cloud pour AWS, Azure, Google Cloud, Alibaba Cloud et Tencent Cloud, selon le reportage de The Hacker News sur l’incident. Il a ensuite installé un mécanisme de persistance — une tâche cron planifiée contactant le serveur de l’attaquant toutes les 30 minutes — avant de pivoter vers la véritable cible : un serveur de production hébergeant une base de données MySQL et un service de gestion de configuration Alibaba Nacos.

Comment Sysdig a reconstitué la chaîne d’attaque d’un agent IA

Ce qui a convaincu Sysdig qu’il s’agissait d’une opération agentique et non d’un simple script, c’est la texture même des charges utiles. Les chercheurs ont trouvé des commandes décodées « saturées de commentaires en langage naturel expliquant pourquoi chaque action est entreprise » — le genre de narration continue qu’un opérateur humain ne prend jamais la peine d’écrire dans une commande shell, mais qu’un modèle de langage produit par défaut dans le cadre de son raisonnement, comme le détaille le blog de Sysdig.

La preuve la plus nette d’une prise de décision autonome en temps réel est venue de la récupération d’erreurs. Lorsqu’une tentative de connexion de l’agent contre le service Nacos a échoué, celui-ci a diagnostiqué la cause racine — un problème de PATH dans un sous-processus — et a livré une charge utile corrigée, en plusieurs étapes, passant des appels de sous-processus aux importations directes de bibliothèques, en seulement 31 secondes, selon Sysdig et la couverture de CyberScoop. Il s’est de nouveau adapté lorsqu’une réponse est arrivée dans un format XML inattendu, puis lorsqu’une écriture en base de données a échoué sur une contrainte de clé étrangère, résolvant chaque cas par un correctif ciblé plutôt que par une nouvelle tentative générique.

Pour la seconde phase de compromission, l’agent de JadePuffer a exploité CVE-2021-29441, une faille de contournement d’authentification dans Alibaba Nacos, puis a forgé des jetons JSON Web Token en utilisant une clé de signature par défaut que Nacos livre inchangée depuis 2020. À partir de là, il a chiffré 1 342 éléments de configuration de service Nacos avec AES-128-ECB, supprimé des schémas de données clients et de bases utilisateurs, puis laissé une note de rançon. La clé de chiffrement elle-même a été générée à la volée à partir de deux UUID aléatoires et n’a jamais été enregistrée ni transmise nulle part — ce qui signifie, comme l’a formulé Sysdig, qu’« il n’existe aucune clé à remettre », si bien que les victimes ne pouvaient pas récupérer leurs données même en payant. Michael Clark, directeur senior de la recherche sur les menaces chez Sysdig, résume ce basculement sans détour : « le seuil de compétence nécessaire pour mener une opération de ransomware complète vient de tomber au niveau du coût d’exécution d’un agent », selon l’entretien de CyberScoop avec Clark.

Sysdig prend soin de préciser les limites de cette autonomie : un humain a tout de même dû provisionner l’infrastructure, sélectionner la victime et orienter l’agent vers une cible avant le début de l’exécution. Mais une fois l’opération lancée, aucune saisie au clavier n’a été nécessaire pendant la reconnaissance, l’exploitation, le déplacement latéral ou la destruction — plus de 600 charges utiles distinctes exécutées en séquence, selon le récit de SecurityWeek sur la chaîne d’attaque.

Ce que les équipes de sécurité d’entreprise devraient faire

1. Traiter les frameworks d’orchestration IA exposés comme une surface d’attaque de production, pas comme des bacs à sable de développeurs

Langflow, tout comme des outils comparables tels que n8n et Flowise, est couramment déployé par les équipes data science et automatisation en dehors des processus normaux de gestion du changement, souvent avec des configurations par défaut et sans authentification devant les points de terminaison d’administration. Les propres recommandations de Sysdig désignent « les serveurs applicatifs exposés, les stockages de configuration non durcis et les comptes d’administration de bases de données accessibles depuis Internet » comme les premières surfaces que les attaquants agentiques sonderont. Recensez chaque outil d’orchestration LLM déployé dans votre environnement ce trimestre, vérifiez qu’il se trouve derrière une authentification et un segment réseau privé, et appliquez le correctif fermant les CVE connues — Langflow 1.3.0 corrige spécifiquement CVE-2025-3248. Ne présumez pas qu’un outil utilisé pour du prototypage échappe à la même liste de contrôle de durcissement qu’une API destinée aux clients.

2. Faire tourner et restreindre les identifiants en partant du principe qu’un hôte exposé compromet tous les secrets accessibles

JadePuffer a récolté des clés API et des identifiants multicloud depuis une seule instance Langflow, puis les a utilisés pour pivoter latéralement en quelques minutes. Les fichiers de configuration, les variables d’environnement et les artefacts .env situés à côté d’un service exposé sont la première chose qu’un agent lit. Passez à des identifiants de courte durée et à portée restreinte (via un gestionnaire de secrets, jamais des fichiers en clair) et fixez des déclencheurs de rotation automatisée sur tout hôte ayant déjà été exposé sur Internet sans authentification. Un identifiant qui n’expire jamais reste une invitation permanente, quel que soit celui — humain ou agent — qui le trouve en premier.

3. Considérer que les clés et identifiants par défaut seront testés en quelques minutes après une compromission, et non des mois plus tard

La seconde exploitation, contre Nacos, a réussi parce que le service utilisait toujours sa clé de signature JWT d’usine, inchangée depuis 2020, et parce que des buckets MinIO étaient accessibles avec des identifiants par défaut. Il ne s’agit pas d’une nouvelle classe de vulnérabilité, mais d’un manquement d’hygiène de base que les outils agentiques exploitent désormais à la vitesse machine. Menez ce mois-ci, et non lors de la prochaine revue de sécurité programmée, un audit des identifiants et clés par défaut sur chaque service interne (stockages de configuration, files de messages, consoles d’administration).

4. Construire la détection autour du comportement, pas des signatures, car les charges utiles générées par des agents ne correspondent à aucune famille de malwares connue

Les charges utiles de JadePuffer étaient inédites, auto-narrées et adaptatives — elles ne correspondront à aucune base de signatures constituée à partir de campagnes de ransomware antérieures. La détection doit évoluer vers des indicateurs comportementaux : création inhabituelle de tâches cron, échecs d’authentification rapides et séquentiels suivis d’une auto-correction immédiate, lectures massives de fichiers d’identifiants, ou activité de chiffrement/suppression de schémas en masse et hors horaires normaux. Les équipes de sécurité qui s’appuient principalement sur la correspondance à des indicateurs de compromission connus manqueront la prochaine intrusion de type JadePuffer jusqu’à ce que les dégâts soient déjà consommés.

Ce que cela révèle plus largement

JadePuffer n’est pas remarquable parce que les vulnérabilités exploitées étaient nouvelles — CVE-2025-3248 disposait d’un correctif public depuis plus d’un an, et le problème de clé par défaut de Nacos est documenté depuis 2020. Ce qui a changé, c’est l’économie du travail nécessaire pour mener l’attaque. Clark, de Sysdig, résume cela en évoquant la fermeture de « boucles qui exigeaient auparavant un humain compétent » — un cadrage plus important que la victime précise ou le montant de la rançon, que Sysdig n’a pas divulgués. Un attaquant n’a plus besoin d’un savoir-faire opérationnel poussé pour enchaîner une RCE publique, récolter des identifiants, pivoter entre services et exécuter une destruction irréversible — il lui faut l’accès à un modèle suffisamment capable et la patience de le pointer vers une cible exposée.

Les chercheurs en sécurité ayant examiné cette divulgation, dont Heath Renfrow cité par Infosecurity Magazine, avertissent que les attaques pilotées par agent compriment en quelques minutes ce qui exigeait auparavant des heures de travail humain qualifié, mettant sous pression toutes les phases de la réponse à incident simultanément. Sysdig s’attend lui-même à une augmentation du volume de campagnes à mesure que les outils agentiques mûrissent et deviennent moins coûteux à exploiter. Pour les équipes défensives, JadePuffer se lit avant tout comme un aperçu : les classes de vulnérabilités sont familières, mais la vitesse et l’échelle auxquelles elles peuvent désormais être enchaînées ne le sont pas.

Questions Fréquemment Posées

Sources et lectures complémentaires

• JADEPUFFER : Agentic Ransomware for Automated Database Extortion — Sysdig
• AI Agent Exploits Langflow RCE to Launch Fully Autonomous Ransomware Attack — The Hacker News
• Sysdig Documents First Fully Agentic Ransomware Attack — CyberScoop
• Agentic AI Used to Conduct Ransomware Attack via Langflow — SecurityWeek
• Researchers Uncover First Fully Agentic Ransomware Attack — Infosecurity Magazine