A felhőbiztonsági vállalat, a Sysdig múlt héten közölte, hogy dokumentálták az első ismert „ügynöki” (agentic) zsarolóvírus-műveletet. A kampány JadePuffer néven szerepel: a Sysdig szerint egy AI-ügynök hajtotta végre a támadás technikai lépéseit kezdettől a végéig — betört egy sebezhető szerverbe, ellopott hitelesítő adatokat, továbbhaladt a célhálózaton, titkosította a fájlokat és saját maga írta meg a váltságdíjas üzenetet.
Emberi szerep a háttérben
A kezdeti tudósításokban szerepelt, hogy a művelet „emberi felügyelet nélkül”, „nincs ember a billentyűzetnél” zajlott. Ezt árnyalta Michael Clark, a Sysdig fenyegetéskutatási igazgatója egy hétfői interjúban a CyberScoop magazinnal: elmondása szerint ember egyértelműen részt vett a műveletben, bár nem a technikai végrehajtásban.
Clark szerint egy ember állította be és irányította a műveletet, biztosította a működéshez szükséges infrastruktúrát — például a parancs-vezérlő (command-and-control) szervert és a lopott adatok tárolására szolgáló staging szervert —, és kiválasztotta a célpontot. A támadáshoz használt adatbázis-hitelesítő adatokat sem maga az AI-ügynök gyűjtötte: azokat korábbi kompromittálás útján szerezték meg, és átadták a műveletnek.
A technikai részletek
A Sysdig beszámolója szerint az ügynök egy ismert sebezhetőségen keresztül jutott be a Langflow nevű, népszerű nyílt forráskódú eszközbe, amely LLM-alkalmazások építésére szolgál. Onnan továbbjutott egy termelési MySQL szerverhez, és egy másik ismert sérülékenységet kihasználva admin hozzáférést szerzett. A támadó ügynök több mint 1 300 konfigurációs rekordot titkosított, saját maga írta a váltságdíjas üzenetet, és egy Bitcoin-címet hagyott megfizetés céljára. A Sysdig nem hozta nyilvánosságra, hogy kit céloztak.
A technikák önmagukban nem feltétlenül voltak különösek; kiemelkedő volt viszont a művelet gyorsasága és az, hogy az ügynök természetes nyelvű megjegyzésekkel narrálta a gondolatmenetét. Például egy sikertelen bejelentkezést 31 másodperc alatt orvosolt.
Modellazonosítás és ellopott kulcsok
Kezdetben Clark említette, hogy a támadás során „több modellt használtak”, és felsorolt megtalált kulcsokat OpenAI, Anthropic, DeepSeek és Gemini szolgáltatókhoz. Később tisztázta, hogy ezek a szolgáltatói API-kulcsok az ügynök által megszerzett „zsákmány” részei voltak, és nem bizonyítékai annak, hogy több különböző modell hajtotta volna végre a különböző lépéseket.
Clark elmondása szerint az ügynök átfésülte a Langflow hostot minden értékesnek tűnő után: szolgáltatói API-kulcsokat, felhő-hitelesítőket, kriptotárcákat és adatbázis-konfigurációkat. Ezek a kulcsok azt mutatják, mit tartottak érdemesnek ellopni, de nem árulják el, melyik modell hozta meg a döntéseket.
A Sysdig nem tudta azonosítani a JadePuffer mögött álló konkrét modellt, és nincs rálátása az ügynök rendszerpromptjára vagy konfigurációjára.
Vélemények és jövőbeli kockázatok
Microsoft-kutató Geoff McDonald a LinkedInen felvetette, hogy a támadás mögött valószínűleg egy nyílt súlyú (open-weight) modell lehetett, amelyből eltávolították a biztonsági korlátokat, nem pedig egy „frontier” modell. McDonald érvelése azon alapult, hogy saját red-teaming tapasztalatai szerint a frontier kutatólaborok biztonsági rétegei általában hatásosak. A Sysdig leírása ezt sem megerősíti, sem cáfolja.
McDonald arra is figyelmeztetett, hogy ha a technikai végrehajtást AI-ügynökök viszik, a zsarolóvírus-kampányok terjedését immár inkább a költségvetés, semmint az emberi munka szabja meg, így „ezrek vagy tízezrek párhuzamos kampánya” válhat lehetővé. Clark megjegyezte ugyanakkor, hogy jelen esetben a humán szerep — célpont kiválasztása, infrastruktúra biztosítása és a hitelesítő adatok beszerzése — korlátozó tényező lehet, mivel ezeket továbbra is ember végezte.
Clark azonban hozzátette a CyberScoopnak, hogy bár a Sysdig eddig nem látott ugyanezen ügynöki kampányt más célpontok ellen, mivel egy ügynök futtatása olcsó, számít arra, hogy hasonló esetek száma nőni fog.
Miért számít ez?
A JadePuffer eset azért jelentős, mert bemutat egy olyan forgatókönyvet, amelyben az AI képes a teljes technikai támadási láncot lefolytatni — exploitálástól a titkosításig — és emberi módon alkalmazkodni a felmerülő akadályokhoz. Ugyanakkor a történet azt is szemlélteti, hogy a „teljesen automatizált” jelző mögött még gyakran van emberi támogatás: az infrastruktúra és a hozzáférések biztosítása továbbra is emberi feladat maradt a dokumentált ügyben.
