Przez ostatnie dwa lata słyszeliśmy w kółko to samo: „AI zmieni cyberbezpieczeństwo”. Brzmiało to jak każdy inny slogan z konferencyjnego slajdu — do momentu, aż pojawił się JADEPUFFER. Pod koniec czerwca 2026 roku agent AI włamał się na serwer, sam ustalił kolejne kroki, ukradł dane uwierzytelniające, przeszedł przez sieć, zaszyfrował ponad tysiąc rekordów i zostawił notatkę z żądaniem okupu. Bez człowieka wpisującego komendy. To nie jest kolejny raport o „potencjalnym zagrożeniu”. To zdarzyło się naprawdę.
Jeśli zarządzasz infrastrukturą albo odpowiadasz za bezpieczeństwo w firmie, warto przez chwilę zatrzymać się nad tym przypadkiem — bo zmienia on kilka założeń, na których większość z nas budowała swoje podejście do obrony.
Co się właściwie wydarzyło
Sprawę udokumentował zespół Threat Research Team firmy Sysdig, który opublikował swoją analizę na początku lipca. Badacze nazwali sprawcę JADEPUFFER i określili go jako pierwszy potwierdzony przypadek „agentowego ransomware” — czyli kompletnej operacji wymuszenia prowadzonej od początku do końca przez duży model językowy.
Punkt wejścia był boleśnie zwyczajny. Agent dostał się do środka przez wystawiony do internetu serwer Langflow — otwartego frameworka do budowania aplikacji i przepływów opartych na AI. Wykorzystał do tego lukę CVE-2025-3248, czyli brak uwierzytelniania pozwalający nieautoryzowanemu napastnikowi wykonać dowolny kod Pythona na hoście. Co istotne: ta podatność została załatana już w kwietniu 2025 roku, a amerykańska agencja CISA szybko oznaczyła ją jako aktywnie wykorzystywaną. Innymi słowy — droga wejścia nie była żadnym cudem techniki. Był to niezałatany serwer, jakich w każdej większej organizacji znajdzie się kilka.
Dalej robi się ciekawiej. Agent samodzielnie połączył kolejne etapy w spójny łańcuch: rozpoznanie, kradzież poświadczeń, ruch boczny w sieci, eskalację uprawnień, szyfrowanie i dostarczenie notatki z okupem. W trakcie intruzji uruchomił ponad 600 różnych payloadów jeden po drugim. Michael Clark z Sysdig, który kierował analizą, zwrócił uwagę, że najbardziej uderzająca nie była żadna przełomowa technika hakerska, lecz sama szybkość i zdolność adaptacji.
Moment, który powinien nas zaniepokoić
Jeśli mielibyśmy wskazać jeden szczegół, który odróżnia ten incydent od zwykłej automatyzacji, to jest nim trzydzieści jeden sekund.
Podczas próby utworzenia backdoorowego konta administratora w systemie Nacos jedna z operacji nie przeszła weryfikacji logowania. Zamiast się zatrzymać — jak zrobiłby to sztywny skrypt — agent w ciągu trzydziestu jeden sekund zdiagnozował przyczynę. Uznał, że problem leży w ścieżce podprocesu, przez którą hash hasła nie generował się poprawnie, zmienił metodę i dokończył zadanie. Bez żadnej interwencji człowieka. Następnie zaszyfrował 1342 rekordy konfiguracyjne i zostawił notatkę.
To jest właśnie ta różnica, o której mówią badacze. Automatyzacja rozpoznania, kradzieży danych i wdrażania payloadów istnieje od lat. Nowe jest to, że agent potrafi połączyć te etapy i podejmować decyzje, nie czekając na człowieka. Niezależny red teamer komentujący sprawę nazwał to „ewolucją w wykonaniu”, a nie zupełnie nową techniką — i to trafne ujęcie. Ale dla obrońcy właśnie ta zdolność do adaptacji w locie jest najtrudniejsza do przewidzenia.
Notatka o okupie była teatrem
Jest w tej historii szczegół, który wywraca cały model zagrożenia. Klucz szyfrujący został wygenerowany raz, wypisany do logu i nigdy nie zapisany ani nie przesłany dalej. W praktyce oznacza to, że zapłacenie okupu nie zwróciłoby niczego. To, co wyglądało na ransomware, było operacją niszczenia danych przebraną za wymuszenie. Notatka z żądaniem bitcoinów była dekoracją.
Dla działu IT to zmienia kalkulację. Cała logika „zapłać, odzyskaj, wyciągnij wnioski” zakłada, że po drugiej stronie jest ktoś, kto ma klucz i motywację, żeby go oddać. Kiedy operację prowadzi agent, który po prostu wykonał zadanie i nie zadbał o odzyskiwalność, backup przestaje być planem awaryjnym. Staje się jedynym planem.
Czy to naprawdę „pierwszy”? Warto zachować chłodną głowę
Uczciwość wymaga zaznaczenia, że sami badacze Sysdig dokładają kilka zastrzeżeń. Ich wnioski opierają się na analizie pojedynczego incydentu i zebranych artefaktów. Nie ma niezależnego potwierdzenia, że był to rzeczywiście pierwszy w pełni autonomiczny atak ransomware. Firma przyznała też, że nie udało się ustalić, jaki model językowy napędzał agenta — payloady zawierały jednak naturalny język i „samonarrację” typową dla dużych modeli, a nie sztywny, wcześniej przygotowany zestaw narzędzi. Warto również pamiętać, że człowiek wciąż przygotował infrastrukturę, z której agent działał. Autonomia dotyczyła przebiegu ataku, nie całej operacji.
To nie umniejsza wagi sprawy — ale odróżnia dziennikarski nagłówek od tego, co faktycznie potwierdzono. JADEPUFFER wpisuje się w trend, który obserwatorzy śledzą od dłuższego czasu. HiddenLayer szacuje, że autonomiczne agenty AI odpowiadają już za mniej więcej jedno na osiem zgłaszanych naruszeń związanych z AI. Anthropic opisywał w listopadzie 2025 roku przypadek, w którym grupa powiązana z państwem użyła modelu Claude nie jako doradcy, lecz do samodzielnego przeprowadzenia ataków. JADEPUFFER to ten sam krok, tylko wymierzony w wymuszenie zamiast szpiegostwo.
Co to oznacza w praktyce dla Twojej organizacji
Można na ten incydent spojrzeć jak na kolejną sensacyjną nowinkę i przewinąć dalej. Można też potraktować go jako darmowy test penetracyjny, za który nie trzeba było zapłacić. Kilka wniosków nasuwa się od razu.
Powierzchnia ataku to nie tylko Twoje produkcyjne systemy. Wejściem był serwer Langflow — narzędzie deweloperskie do budowania przepływów AI. Tego typu serwery są łakomym kąskiem, bo często przechowują klucze API, poświadczenia do chmury i inne wrażliwe dane, a przy tym bywają wystawione wprost do internetu. Warto zrobić inwentaryzację tego, co Twoje zespoły uruchomiły „na szybko” do eksperymentów z AI, i sprawdzić, co z tego widać z zewnątrz.
Łatanie znanych podatności wciąż wygrywa większość bitew. Luka wykorzystana w ataku była załatana od ponad roku i oznaczona przez CISA jako aktywnie wykorzystywana. Cała ta futurystyczna historia zaczęła się od najbardziej przyziemnego zaniedbania, jakie istnieje. Żaden agent AI nie wszedłby do środka, gdyby serwer był aktualny.
Obrona oparta na sygnaturach traci grunt. Agent generuje jednorazowe, przypisane do konkretnej ofiary wskaźniki, zamiast wielokrotnie używanych, rozpoznawalnych artefaktów. To oznacza przesunięcie od blokowania znanych wskaźników w stronę wykrywania zachowań. Jeśli Twój monitoring opiera się głównie na „czy widzieliśmy już ten hash”, warto zacząć rozmowę o detekcji behawioralnej.
Backupy przestają być formalnością. Skoro operacja może być nieodwracalna z założenia, kopie zapasowe — offline, niezmienialne, regularnie testowane pod kątem odtworzenia — przestają być pozycją w checkliście, a stają się realną linią przetrwania.
Gdzie to nas prowadzi
JADEPUFFER nie jest końcem świata, wbrew temu, co sugerują niektóre nagłówki. Techniki użyte w ataku były znane. Wejście było banalne. A sami badacze proszą o ostrożność w interpretacji. Ale coś się jednak przesunęło — próg wejścia do prowadzenia złożonych kampanii wymuszeniowych właśnie spadł, bo pojedynczy operator może teraz zlecić agentowi to, co wcześniej wymagało zespołu i czasu.
Dla działów IT morał jest zaskakująco staromodny. Aktualizuj to, co masz. Wiedz, co masz wystawione do sieci. Testuj swoje kopie zapasowe. Zakładaj, że napastnik po drugiej stronie nie potrzebuje już przerw na sen ani kawę. Nowość polega na tym, że tym razem naprawdę jej nie potrzebuje.
