Sysdig afirma que un agente de IA llevó a cabo un ataque de ransomware de extremo a extremo mediante una vulnerabilidad de Langflow

Investigadores de seguridad de Sysdig afirman haber identificado lo que parece ser la primera operación de ransomware ejecutada de principio a fin por un agente de IA. La actividad, que la empresa rastrea con el nombre JADEPUFFER, comenzó con la explotación de una vulnerabilidad conocida en Langflow, una plataforma de código abierto utilizada para crear aplicaciones de IA y flujos de trabajo de agentes.

El punto de acceso inicial fue CVE-2025-3248, una vulnerabilidad de ejecución remota de código sin autenticación que permite a los atacantes ejecutar código Python en un servidor Langflow accesible sin iniciar sesión. Aunque la vulnerabilidad se corrigió en Langflow 1.3.0 y se añadió en 2025 a la lista de vulnerabilidades explotadas conocidas de CISA, Sysdig afirmó que seguían existiendo sistemas sin parchear expuestos en internet.

Tras obtener acceso, el agente supuestamente se desplazó rápidamente por el entorno de la víctima. Según Sysdig, buscó secretos como claves de API de plataformas de IA, credenciales de servicios en la nube y datos de inicio de sesión de bases de datos. Los atacantes también accedieron a un servidor de almacenamiento MinIO que todavía utilizaba sus credenciales predeterminadas. Sysdig afirmó que el agente estableció persistencia creando una tarea programada que se comunicaba con un servidor externo a intervalos regulares.

Objetivo: bases de datos y datos de configuración

La campaña se centró finalmente en un sistema independiente que ejecutaba MySQL y Alibaba Nacos, un servicio de configuración y descubrimiento común en entornos de microservicios. Sysdig afirmó que el agente inició sesión en la base de datos MySQL como root y después utilizó vulnerabilidades antiguas de Nacos y una clave de firma predeterminada para tomar el control de la plataforma. A continuación, creó su propia cuenta administrativa y cifró 1.342 entradas de configuración de Nacos.

La nota de rescate exigía Bitcoin e incluía una dirección de Proton Mail para ponerse en contacto. Sysdig afirmó que la clave de cifrado utilizada en el ataque se generó sobre la marcha, se mostró una sola vez y nunca se almacenó ni transmitió, lo que dejaba a la víctima sin una forma práctica de recuperar los datos incluso si efectuaba el pago.

Por qué los investigadores creen que intervino la IA

• Las cargas útiles del ataque contenían explicaciones detalladas en lenguaje natural para cada paso.
• El operador corrigió los errores en cuestión de segundos, lo que sugiere una toma de decisiones a velocidad de máquina.
• Sysdig contabilizó más de 600 cargas útiles distintas durante la intrusión.

Los investigadores afirman que el incidente pone de manifiesto cómo las herramientas de IA podrían reducir la barrera de entrada para realizar ataques complejos al encadenar técnicas conocidas contra sistemas desatendidos. Sus recomendaciones siguen siendo las habituales: aplicar parches al software expuesto, evitar colocar secretos en entornos accesibles desde internet y restringir el acceso a las bases de datos y los servicios de gestión.