Il 1° luglio 2026 il Sysdig Threat Research Team ha pubblicato l'analisi di un caso che cambia il discorso sull'IA offensiva. Battezzato JADEPUFFER, è valutato come il primo caso documentato pubblicamente di ransomware agentico: una campagna in cui l'esecuzione tecnica dell'intrusione, dalla ricognizione fino alla cifratura distruttiva, è stata delegata a un agente basato su modello linguistico. Questo articolo spiega cosa è realmente accaduto, dove sta il punto di svolta storico e cosa richiede a chi difende ambienti moderni.

• Traguardo: primo caso pubblico di ransomware agentico, con esecuzione tecnica condotta da un agente LLM.

• Accesso iniziale: istanza Langflow esposta a internet, tramite CVE-2025-3248.

• Scala: oltre 600 payload distinti in una finestra compressa, con autocorrezione in 31 secondi.

• Impatto: 1.342 elementi di configurazione di Nacos cifrati, con chiave effimera mai persistita (distruzione irrecuperabile).

Prima di tutto, una precisazione che separa il titolo dall'analisi: JADEPUFFER non è stato un attacco "100% autonomo, senza esseri umani". La selezione del bersaglio, il provisioning dell'infrastruttura, l'orientamento dell'agente e la probabile consegna preventiva di credenziali root restano attribuibili a un operatore umano. Ciò che è cambiato, e basta a ridefinire il rischio, è che l'esecuzione tecnica è passata a un agente capace di ragionare, provare, fallire, correggere e proseguire senza che qualcuno guidi ogni passaggio.

Cosa è successo, in una frase e in due fasi

L'operatore ha ottenuto l'accesso iniziale a un'istanza Langflow esposta a internet sfruttando la CVE-2025-3248 e ha delegato a un agente LLM la conduzione di una catena di intrusione ed estorsione contro un server di database di produzione. Nell'arco di oltre 600 payload distinti, lanciati in una finestra compressa, l'agente ha enumerato l'ambiente, raccolto e riutilizzato credenziali, si è mosso lateralmente, ha stabilito persistenza, adattato parser, corretto errori di autenticazione ed eseguito un playbook distruttivo.

L'operazione si è articolata in due fasi. La prima, l'istanza Langflow, è servita da ponte: accesso iniziale, raccolta di segreti e pivot. La seconda, un server con MySQL e Alibaba Nacos, ha concentrato l'impatto finale, con la presa del servizio di configurazione, la cifratura e la distruzione. Il punto di svolta non sta nelle tecniche, tutte note e singolarmente banali, ma nella compressione operativa che un agente autonomo produce.

La superficie AI-adjacent è diventata la porta d'ingresso

Langflow è un framework open source per costruire applicazioni e agenti basati su LLM. La CVE-2025-3248 è una falla di autenticazione mancante sull'endpoint /api/v1/validate/code, che consente a un attaccante remoto e non autenticato di eseguire codice Python arbitrario sull'host. È stata corretta nella versione 1.3.0 ed è entrata nel catalogo Known Exploited Vulnerabilities della CISA a maggio 2025.

Il valore di Langflow come bersaglio, però, va oltre la falla. Le istanze di orchestrazione dell'IA sono tipicamente AI-adjacent: stanno vicino a flussi, chiavi LLM, segreti cloud, database e pipeline interne, e vengono spesso installate per la prototipazione con controlli di rete inferiori a quelli di produzione. Questa combinazione di esecuzione di codice, prossimità alle credenziali ed esposizione impropria trasforma questo tipo di piattaforma in un trampolino di grande valore. Che la tendenza sia attiva è chiaro da un altro dato del report: a luglio 2026 la CISA ha aggiunto al KEV la CVE-2026-55255, anch'essa contro Langflow.

31 secondi: la prova che definisce "agentico"

La prova più forte che a condurre fosse un agente, e non uno script rigido, è emersa durante la presa di Nacos. L'agente ha provato a creare un amministratore con hash bcrypt, ha verificato che il login falliva e, 31 secondi dopo, ha emesso un payload correttivo: ha cancellato l'account precedente, ricreato l'utente con un metodo di hashing più diretto e validato l'accesso. Non è ripetizione di payload: è la diagnosi di un'ipotesi di errore, la correzione e il nuovo test.

Lo stesso schema di adattamento è comparso in altri momenti: quando un DROP DATABASE è fallito per un vincolo di chiave esterna, il payload successivo ha incluso SET GLOBAL FOREIGN_KEY_CHECKS=0, eseguito la cancellazione e ripristinato lo stato. Nell'enumerazione di MinIO, l'agente ha adattato il parser quando una risposta attesa in JSON è tornata in XML. A ciò si aggiungono payload autonarrati, con commenti in linguaggio naturale che spiegano le priorità, cosa che gli operatori umani fanno raramente in one-liner usa e getta. È il coordinamento autonomo di questi passaggi, non la sofisticazione di ciascuno, a sostenere la lettura di un'esecuzione condotta da un agente.

Quando il ransomware diventa pura distruzione

La fase finale rivela il dettaglio più grave per chi risponde agli incidenti. L'agente ha cifrato 1.342 elementi di configurazione di Nacos con la funzione AES_ENCRYPT() di MySQL, ha eliminato le tabelle originali e ha creato una tabella README_RANSOM con richiesta di riscatto, indirizzo Bitcoin e contatto Proton Mail. Fin qui, comportamento classico da estorsione.

Il problema è la chiave. È stata generata in modo effimero, stampata una sola volta su stdout e non è stata osservata né memorizzata né trasmessa all'operatore. In pratica, la vittima non avrebbe modo di recuperare le configurazioni nemmeno pagando. L'operazione richiede un pagamento come un ransomware, ma il suo disegno tecnico produce una distruzione irrecuperabile. Vale la pena notare due limiti analitici che il report stesso segnala: l'affermazione di esfiltrazione verso un server di staging proviene dal payload stesso e non è stata verificata in modo indipendente, e l'indirizzo Bitcoin utilizzato coincide con l'esempio canonico della documentazione Bitcoin, il che può indicare un'allucinazione del modello o una scelta deliberata dell'operatore.

Cosa cambia per chi difende

JADEPUFFER va letto come un traguardo operativo, non come una nuova classe di sfruttamento. Ed è proprio per questo che conta nella pianificazione difensiva del 2026:

• La soglia di competenza offensiva si è abbassata. Un operatore con conoscenze limitate può delegare a un agente ricognizione, raccolta di segreti, sfruttamento, manipolazione del database, persistenza e logica di estorsione. La perizia umana non è più l'unico ammortizzatore tra la disponibilità di una vulnerabilità e l'impatto.

• La lunga coda delle falle datate è diventata più pericolosa. Gli agenti rendono economico testare molte ipotesi contro ambienti trascurati: esposizione impropria, credenziali privilegiate, chiavi predefinite e bypass noti.

• Le superfici AI-adjacent sono asset critici. Orchestratori di agenti, ambienti di sperimentazione con LLM e pipeline collegate a segreti non possono essere governati come prototipi isolati quando sono esposti.

• La finestra di risposta manuale si è ristretta. Quando un agente concatena centinaia di azioni e corregge gli errori in pochi secondi, la difesa dipende dall'isolamento architetturale predisposto e dalla protezione delle credenziali, non dalla reazione umana in tempo reale.

• La politica del non pagare ha acquisito un fondamento tecnico. Con una chiave effimera mai persistita, pagare può essere strutturalmente inutile. La resilienza deve venire da backup propri, testati e isolati.

Raccomandazioni operative

Per i team di sicurezza, il report converge su priorità chiare:

• Correggere e togliere da internet gli endpoint di validazione ed esecuzione di codice, come quello di Langflow.

• Limitare l'accesso esterno a Langflow, Nacos, MySQL e MinIO con VPN, bastion e segmentazione.

• Irrobustire Nacos: cambiare le chiavi predefinite e impedire la connessione al database come root.

• Rimuovere le credenziali privilegiate dagli ambienti di orchestrazione dell'IA e distribuirle con un meccanismo a scope minimo e rotazione.

• Applicare controlli di egress per impedire beaconing e trasferimenti di dati verso destinazioni arbitrarie.

• Rivedere le soglie di rilevamento per attacchi che operano a velocità di macchina.

C'è inoltre un segnale difensivo nuovo e utile: l'autonarrazione. I payload generati da LLM tendono a includere commenti esplicativi e nomi di variabili descrittivi, e questo può essere integrato nel triage dei log e nell'analisi degli artefatti a runtime, sempre insieme al comportamento, mai come prova isolata.

Conclusione

JADEPUFFER non ha inventato una tecnica: ha concatenato tecniche note a una velocità che altera l'equilibrio tra attacco e difesa. La lezione strategica è diretta: un agente di IA con accesso a credenziali, strumenti e connettività non è un'interfaccia di produttività, è un'entità operativa capace di compiere azioni e produrre impatto. Governarlo richiede gli stessi controlli di identità, segreti, scope, rete e osservabilità che applichiamo a qualunque workload critico.