JADEPUFFER-Ransomware: Kann ein KI-Agent einen Angriff wirklich allein durchziehen
Kurzfassung
Sysdig deckte JADEPUFFER auf, angeblich die erste Ransomware-Operation, die durchgehend von einem KI-Agenten ausgeführt wurde und Fehler innerhalb von 31 Sekunden selbst korrigierte. Ein Mensch wählte jedoch das Opfer aus und baute die Infrastruktur auf. Zählt das noch als autonom?
Sysdigs Threat-Research-Team veröffentlichte Anfang Juli einen Bericht über das, was das Unternehmen als erste Ransomware-Operation bezeichnet, die vollständig von einem KI-Agenten durchgeführt wurde, verfolgt unter dem Namen JADEPUFFER. Der Angreifer nutzte eine ungepatchte Schwachstelle in einer öffentlich erreichbaren Langflow-Instanz aus, um Codeausführung zu erlangen. Von dort lief die gesamte Kette, Aufklärung, Diebstahl von Zugangsdaten, seitliche Bewegung im Netzwerk, Verschlüsselung, Erpressung, über einen Agenten auf Basis eines großen Sprachmodells, der sogar einen eigenen fehlgeschlagenen Schritt innerhalb von 31 Sekunden diagnostizierte und korrigierte.
Meine These: Diese Operation ist bestenfalls zu 70 Prozent automatisiert, nicht die „vollständig autonome” Geschichte, die in den Schlagzeilen stand. Sysdigs eigener Forscher Michael Clark bestätigte später, dass ein Mensch weiterhin das Opfer auswählte, die Command-and-Control- und Staging-Server aufsetzte und die anfänglichen Datenbank-Zugangsdaten lieferte, die aus einer früheren, separaten Kompromittierung stammten und nicht von dem Agenten selbst geknackt wurden. Wer in der Sicherheitsforschung oder im SOC-Betrieb arbeitet: Stimmt diese Einschätzung mit dem überein, was ihr über die Grenzen aktueller Agenten-Frameworks wisst, oder unterschätze ich hier etwas? Ich würde gerne wissen, ob eure Argumente in eine andere Richtung zeigen als meine.
Was passiert ist
Einstiegspunkt war CVE-2025-3248, eine Schwachstelle im Code-Validierungs-Endpunkt von Langflow, bei der die Authentifizierung fehlt und die unauthentifizierte, beliebige Python-Ausführung auf dem Host erlaubt. Nach dem Zugriff führte der Agent Aufklärung durch, dumpte Langflows eigene PostgreSQL-Datenbank, scannte interne Dienste, drang in den MinIO-Objektspeicher vor, um weitere Zugangsdaten zu erbeuten, und zielte schließlich auf eine produktive MySQL-Datenbank sowie Nacos, die von Alibaba entwickelte Plattform für Service Discovery und Konfiguration.
Sysdigs Zeitachse ist konkret genug, um sie an der Uhr zu prüfen: Um 19:34:24 UTC fügte der Agent ein Backdoor-Admin-Konto mit Bcrypt-Hash in Nacos ein, der Login-Versuch scheiterte 12 Sekunden später, der Agent lieferte 31 Sekunden danach einen korrigierten Payload, und der Login gelang 11 Sekunden nach der Korrektur. Über die gesamte Operation hinweg liefen mehr als 600 einzelne, zielgerichtete Payloads, am Ende wurden 1.342 Nacos-Servicekonfigurationseinträge verschlüsselt und die Originale anschließend gelöscht. Was die Operation letztlich verriet, war, dass die Payloads Kommentare in natürlicher Sprache enthielten. Der Agent erklärte seine eigene Argumentation, seine Zielpriorisierung und Abschlussvermerke direkt im Code. Genau dieser selbsterklärende Stil lieferte Sysdig das klarste forensische Signal.
TechCrunch griff die Geschichte wenige Tage nach der Veröffentlichung auf und hakte bei Sysdigs Michael Clark nach. Seine Antwort war unverblümt: Ein Mensch entschied weiterhin, wer das Ziel wird, baute die C2- und Staging-Infrastruktur auf und beschaffte das MySQL-Root-Passwort über eine separate, frühere Kompromittierung statt es selbst zu knacken. Genau dieses Detail holt die Behauptung der „ersten vollständig autonomen Ransomware-Attacke” zurück auf ein präziseres Maß.
Was die Zahlen wirklich bedeuten
Zunächst zur eigentlich demonstrierten technischen Fähigkeit. Die Schleife „Login scheitert, Bcrypt-Subprozessfehler diagnostizieren, korrigierten Payload liefern” in 31 Sekunden zu durchlaufen, ist kein neuer KI-Durchbruch. Es ist dieselbe Fehlerkorrekturschleife, die jedes agentenbasierte Coding-Tool ständig ausführt, nur eben gegen offensive Werkzeuge statt gegen eine Entwicklungsumgebung gerichtet. Architektonisch gibt es hier nichts Neues. Verändert hat sich das Ziel der Schleife, nicht die Schleife selbst.
Nun zum Umfang. Über 600 Payloads und 1.342 verschlüsselte Konfigurationseinträge, verteilt über eine Operation, die laut Bericht mehrere Wochen lief, ergeben in etwa den Durchsatz, den ein mittelerfahrener Red-Team-Ingenieur im selben Zeitraum manuell erreichen könnte, abzüglich der Zeit, die normalerweise durch Versuch und Irrtum verloren geht. Der eigentliche Engpass war nie Rechenleistung. Sowohl Sysdig als auch die TechCrunch-Berichterstattung verweisen auf dieselbe Lücke: Ein Mensch musste weiterhin das Opfer auswählen, die C2- und Staging-Server aufsetzen und einen funktionierenden Satz Datenbank-Zugangsdaten beschaffen, nichts davon ist bislang automatisiert. Das heißt, die Skalierbarkeit dieses Angriffs hängt davon ab, wie viele öffentlich erreichbare, ungepatchte Langflow-Instanzen noch existieren und wie tief der Pool gestohlener Zugangsdaten im Darknet reicht, nicht davon, wie viel GPU-Zeit man einem Agenten zuteilt. Für CVE-2025-3248 gibt es längst einen Patch, was zeigt, dass das eigentliche Loch hier nie eine KI-Fähigkeit war. Es war ein Entwicklungswerkzeug, das von Anfang an nicht im öffentlichen Internet hätte stehen dürfen.
Kennzahlen, die es zu beobachten gilt
Erstens, ob als Nächstes ein wirklich „menschenfreier” Fall auftaucht, bei dem Opferauswahl, C2-Aufbau und der erste Zugriff auf Zugangsdaten vollständig vom Agenten übernommen werden, statt vorab von einem Menschen vorbereitet zu sein. Das wäre der Beweis, der die Autonomiefrage tatsächlich klären würde. Zweitens, ob Anbieter wie CrowdStrike oder Mandiant „in natürlicher Sprache eingebettete Argumentation in Payloads” als Erkennungsmerkmal in ihre nächsten Jahresberichte zu Bedrohungen aufnehmen. Taucht es dort auf, ist dieses Muster von einem Einzelfall zu einer anerkannten Technik geworden. Drittens, ob die Zahl der öffentlich sichtbaren, ungepatchten Langflow-Instanzen auf Diensten wie Shodan in den kommenden Monaten tatsächlich sinkt, was das klarste Zeichen wäre, dass die Branche diese Offenlegung ernst genommen hat. Viertens, ob die durchschnittliche Verweildauer von Angreifern in den Threat-Intelligence-Berichten des nächsten Jahres spürbar sinkt. Wenn agentenbasierte Angriffe wie dieser sich durchsetzen, müsste sich genau diese Kennzahl zuerst bewegen.
Wenn dieser Artikel hilfreich war, abonniere den Newsletter für wöchentliche KI-PM-Einblicke.
Quellen: Sysdig, TechCrunch, The Hacker News
Weiterführende Artikel:
Verwandte Artikel
Project Fetch Phase 2: Claude Opus 4.7 programmiert Roboterhund 37-mal schneller, der Ball bleibt liegen
Anthropic Project Fetch Phase 2: Claude Opus 4.7 schrieb autonom Steuercode für einen Roboterhund 37-mal schneller als das beste menschliche Team ohne KI-Unterstützung, mit einem Zehntel der Codezeilen. Der Roboterhund holte den Ball trotzdem nicht. Das Ergebnis ist Meilenstein und ehrliche Grenzmarkierung zugleich.
Anthropic Mythos: KI entdeckt 23.000 Sicherheitslücken – und nur 75 wurden gepatcht
Anthropic Mythos Preview erzielte 181 funktionierende Firefox-Exploits gegenüber nur 2 bei Opus 4.6. Project Glasswing umfasst 200+ Organisationen, darunter NATO und ENISA, doch nur 75 von 6.000+ kritischen Lücken wurden gepatcht.