Sysdig: un agente IA ha condotto un attacco ransomware dall’inizio alla fine sfruttando una falla di Langflow

I ricercatori di sicurezza di Sysdig affermano di aver identificato quella che sembra essere la prima operazione ransomware eseguita dall’inizio alla fine da un agente IA. L’attività, che l’azienda monitora con il nome JADEPUFFER, è iniziata con lo sfruttamento di una vulnerabilità nota in Langflow, una piattaforma open source utilizzata per creare applicazioni IA e flussi di lavoro per agenti.

Il punto di accesso iniziale era CVE-2025-3248, una vulnerabilità di esecuzione di codice da remoto senza autenticazione che consente agli aggressori di eseguire codice Python su un server Langflow raggiungibile senza effettuare il login. Sebbene la falla sia stata corretta in Langflow 1.3.0 e inserita nel 2025 nell’elenco delle vulnerabilità note sfruttate di CISA, Sysdig ha affermato che sistemi non aggiornati continuavano a essere esposti su Internet.

Dopo aver ottenuto l’accesso, l’agente si sarebbe mosso rapidamente nell’ambiente della vittima. Secondo Sysdig, ha cercato segreti come chiavi API per piattaforme IA, credenziali cloud e dati di accesso ai database. Gli aggressori hanno inoltre avuto accesso a un server di storage MinIO che utilizzava ancora le credenziali predefinite. Sysdig ha affermato che l’agente ha poi stabilito la persistenza creando un’attività pianificata che contattava regolarmente un server esterno.

Database e dati di configurazione nel mirino

La campagna si è infine concentrata su un sistema separato che eseguiva MySQL e Alibaba Nacos, una piattaforma di configurazione e rilevamento dei servizi comune negli ambienti a microservizi. Sysdig ha affermato che l’agente ha effettuato l’accesso al database MySQL come root, quindi ha sfruttato vecchie vulnerabilità di Nacos e una chiave di firma predefinita per prendere il controllo della piattaforma. Da lì, ha creato un proprio account amministrativo e crittografato 1.342 voci di configurazione di Nacos.

La richiesta di riscatto esigeva Bitcoin e includeva un indirizzo Proton Mail per i contatti. Sysdig ha affermato che la chiave di cifratura utilizzata nell’attacco è stata generata al momento, mostrata una sola volta e mai memorizzata o trasmessa, lasciando alla vittima alcun modo pratico per recuperare i dati anche in caso di pagamento.

Perché i ricercatori ritengono che sia stata coinvolta l’IA

• I payload dell’attacco contenevano spiegazioni dettagliate in linguaggio naturale per ogni passaggio.
• L’operatore correggeva gli errori in pochi secondi, suggerendo un processo decisionale alla velocità delle macchine.
• Sysdig ha conteggiato oltre 600 payload distinti durante l’intrusione.

Secondo i ricercatori, l’incidente evidenzia come gli strumenti di IA potrebbero abbassare la barriera d’ingresso per attacchi complessi concatenando tecniche note contro sistemi trascurati. Le loro raccomandazioni restano le consuete: applicare le patch al software esposto, evitare di collocare segreti in ambienti raggiungibili da Internet e limitare l’accesso a database e servizi di gestione.