Впервые в истории программа-вымогатель от начала до конца была запущена не хакером, а языковой моделью. Автономный агент JADEPUFFER самостоятельно взломал корпоративную инфраструктуру, похитил учётные данные, зашифровал базы - и потребовал выкуп. Людей в цепочке атаки не было.
Как ИИ взламывал без оператора за спиной
Точкой входа стал публичный сервер с развёрнутым Langflow - популярным инструментом для построения ИИ-пайплайнов. Агент использовал уязвимость CVE-2025-3248, позволяющую выполнять произвольный код без какой-либо авторизации. Такие серверы разворачивают впопыхах, нередко без базового харднинга - и именно они давно превратились в лёгкую добычу для охотников за API-ключами.
Оказавшись внутри, JADEPUFFER действовал методично. Он собрал ключи доступа к OpenAI, Anthropic и DeepSeek, вытащил учётные данные AWS и Azure, опустошил базы PostgreSQL и хранилища MinIO, добрался до криптокошельков. Отдельным штрихом - обнаружил внутреннее файловое хранилище с заводскими логином и паролем и скачал оттуда конфигурационные файлы. Это не случайность. Это методика.
600 действий, 31 секунда на исправление ошибки
Для закрепления агент прописал задачу в cron: каждые 30 минут - пинг на командный сервер. Затем с украденными кредами переместился на рабочий сервер с MySQL и сервисом конфигураций Alibaba Nacos. Там обнаружились незакрытые уязвимости 2021 года - и JADEPUFFER немедленно создал скрытую учётную запись администратора.
На финальном этапе зашифровал 1342 элемента конфигурации встроенными функциями MySQL, удалил исходные таблицы и оставил вместо них таблицу README_RANSOM с биткоин-адресом и почтой. Ключ шифрования генерировался случайно, нигде не сохранялся и отображался ровно один раз. Восстановить данные после оплаты было бы невозможно. По сути - не вымогательство, а уничтожение под видом шантажа.
Всего агент выполнил более 600 осмысленных действий. Когда одна из попыток входа провалилась, он проанализировал причину и внедрил рабочее исправление за 31 секунду. Для сравнения: живому пентестеру понадобились бы минуты, а то и десятки минут.
Как исследователи поняли, что за клавиатурой никого не было
Два признака выдали природу атаки с особой отчётливостью.
- Самокомментирующий код. Каждый вредоносный скрипт содержал подробные пояснения на естественном языке - зачем этот шаг, какова его цель, что будет дальше. Профессиональные хакеры одноразовые инструменты не комментируют. Нейросети - делают это по умолчанию.
- Нечеловеческая скорость адаптации. Реакция на сбой и самостоятельное исправление за 31 секунду - это не человеческий темп. Это инференс.
По оценкам специалистов, человек запустил систему лишь однажды - в самом начале. Дальше контроль полностью перешёл к модели. Отчёт опубликован 1 июля 2026 года директором по угрозам компании Майклом Кларком. Это первый задокументированный случай атаки LLM-агента in the wild - когда вся цепочка от разведки до шифрования выполнена без вмешательства оператора.
Почему это меняет картину угроз
До сих пор ИИ в кибератаках использовался как вспомогательный инструмент: написать фишинговое письмо, сгенерировать код, подсказать вектор. Теперь модель сама стала атакующим. Порог входа для сложных многоступенчатых операций резко снизился - злоумышленнику больше не нужна команда с узкой специализацией. Достаточно запустить агента и отойти в сторону.
Сотни тысяч плохо защищённых Langflow-серверов по всему миру - это не гипотетическая угроза. Это готовая инфраструктура для следующей волны атак. И судя по JADEPUFFER, следующая волна уже не будет ждать команды от человека.
