La risposta breve
Sysdig ha pubblicato quello che definisce il primo caso documentato di ransomware agentico: un'operazione di estorsione completa, denominata JADEPUFFER, in cui un grande modello linguistico ha gestito l'intera catena d'attacco tecnica — intrusione, furto di credenziali, movimento laterale, escalation dei privilegi e cifratura del database. Come riportato da Fortune e TechCrunch il 6 luglio 2026, l'agente è entrato attraverso una falla nota in un'istanza Langflow esposta su Internet, poi si è spostato a un database di produzione e ha cifrato 1.342 elementi di configurazione, adattandosi ai propri fallimenti in pochi secondi.
La riserva onesta conta: non si è trattato di una macchina che agiva completamente da sola. Gli operatori umani hanno comunque scelto la vittima, allestito l'infrastruttura e fornito alcune credenziali. Ma l'esecuzione passo dopo passo è stata condotta dal modello, e si è svolta alla velocità della macchina. Per i responsabili dell'ingegneria, il segnale non è «i robot sono arrivati» — è che il lavoro di routine di un'intrusione viene automatizzato, il che riduce la tua finestra di patch e aumenta il costo di un singolo servizio esposto.
Cosa è successo davvero?
Il punto di partenza era banale: un'istanza di Langflow esposta su Internet, un popolare strumento open source per costruire applicazioni LLM. Eseguiva una versione non aggiornata vulnerabile alla CVE-2025-3248, una falla critica di autenticazione mancante nell'endpoint di validazione del codice di Langflow che consente a un attaccante non autenticato di eseguire codice Python arbitrario sull'host. Quel singolo servizio esposto e non aggiornato è l'intera base dell'attacco — un promemoria che il modo più rapido di essere compromessi è ancora lasciare un buco noto aperto su Internet.
Da quel punto d'appoggio, l'agente si è comportato come un operatore competente che segue una checklist. Ha eseguito la ricognizione dell'host, esportato il database Postgres locale di Langflow e cercato segreti — chiavi API di provider LLM, credenziali cloud per AWS, GCP e Azure, password di database e materiale di wallet di criptovalute. Ha trovato un object store MinIO e si è autenticato con le credenziali predefinite minioadmin:minioadmin, ha stabilito la persistenza tramite un cron job che inviava un segnale ogni 30 minuti, poi si è spostato al vero bottino: un server di database di produzione. La lezione per chiunque gestisca uno stack di agenti IA o LLM è che questi strumenti di sviluppo stanno accanto a credenziali reali, e trattarli come giocattoli interni a basso rischio è il modo in cui una macchina di demo diventa un punto d'ingresso.
Sul server di produzione, l'agente ha sfruttato un secondo bug noto, un bypass di autenticazione Nacos (CVE-2021-29441), ha falsificato token JWT e iniettato un amministratore backdoor. Ha poi cifrato tutti i 1.342 elementi di configurazione dei servizi Nacos usando la funzione di cifratura integrata del database, eliminato interi schemi compresi i dati di clienti e utenti, e scritto una tabella di estorsione chiamata README_RANSOM con un indirizzo Bitcoin e un contatto Proton Mail. Da notare, la cifratura è stata pasticciata — la chiave è stata generata, stampata una sola volta e mai salvata — per cui le vittime non potevano recuperare i dati nemmeno pagando. Sciatto, distruttivo e interamente scriptato dal modello.
Come sappiamo che l'ha condotto un'IA?
Sysdig espone diverse linee di prova, e la più convincente è la velocità. In una sequenza registrata, l'agente ha inserito un account admin backdoor, ha visto il login fallire 12 secondi dopo, e ha emesso un payload corretto 31 secondi più tardi — diagnosticando un problema di percorso del sottoprocesso, cambiando approccio, eliminando la voce difettosa e reinserendola con l'hash corretto. Un umano che legge un messaggio di errore e ragiona fino a quella correzione impiega ben più di mezzo minuto. L'attacco si è mosso alla velocità dell'inferenza, non della digitazione.
Gli altri indizi sono comportamentali. I payload erano saturi di commenti in linguaggio naturale che spiegavano perché ogni azione veniva intrapresa — il tipo di auto-narrazione che un LLM produce di riflesso e che un operatore umano quasi mai scrive in one-liner usa e getta. E l'operazione si è adattata in tempo reale: quando una chiamata MinIO ha restituito XML invece del JSON atteso, il payload successivo ha analizzato XML; quando un tentativo di falsificazione JWT ha incontrato un segreto personalizzato, l'agente ha abbandonato del tutto quel percorso; quando un DROP DATABASE è fallito su un vincolo di chiave esterna, il tentativo successivo ha prima disabilitato il controllo del vincolo. Questo è problem-solving, non uno script fisso.
Era davvero autonomo?
Qui conta la lettura sobria, e dove un'informazione onesta ha già temperato il titolo. Sysdig ha inizialmente inquadrato l'operazione come funzionante «senza alcuna supervisione umana», poi ha chiarito che un umano l'ha comunque predisposta e indirizzata. Come Michael Clark di Sysdig ha detto a TechCrunch, una persona ha predisposto l'infrastruttura e orientato l'operazione; gli umani hanno scelto la vittima, allestito i server di comando e controllo e di staging, e fornito credenziali root del database che l'agente non è mai stato osservato raccogliere. Il modello ha eseguito l'intrusione, ma non l'ha scelta.
Questa distinzione ha peso pratico. Il ricercatore Geoff McDonald ha osservato che se gli umani devono scegliere ogni vittima e consegnare le credenziali, questi passaggi sono colli di bottiglia che minano lo scenario più spaventoso — migliaia di campagne simultanee e completamente autonome. Sysdig inoltre non è riuscita a identificare il modello specifico né a leggere il suo prompt di sistema, quindi non possiamo separare del tutto una genuina autonomia del modello da un agente accuratamente predisposto. La postura corretta non è né panico né liquidazione: una soglia reale è stata superata — un'intrusione end-to-end eseguita da un'IA — ma l'attaccante completamente autonomo e auto-diretto non è ancora arrivato.
Perché è importante ora?
Due cambiamenti rendono questo più di una curiosità di ricerca. Il primo è la velocità. Quando il lavoro tattico di un'intrusione — enumerare, pivotare, escalare, adattarsi — corre alla velocità della macchina, il divario tra l'esposizione di una vulnerabilità e il suo sfruttamento crolla. Le difese che presumono che un attaccante umano impiegherà ore o giorni per attraversare una rete devono ora presumere minuti. Patch lente, triage manuale e rilevamento tarato sul ritmo umano sono tutti dalla parte sbagliata di questo cambiamento.
Il secondo è che lo stack IA è ora superficie d'attacco a sé stante. L'intera operazione è iniziata perché uno strumento di costruzione di LLM era esposto su Internet con una falla nota e credenziali predefinite a portata di mano. Mentre i team si affrettano a rilasciare funzionalità IA, allestiscono nuovi strumenti — orchestratori, vector store, framework di agenti, object store — che spesso finiscono al di fuori del percorso irrobustito riservato ai sistemi di produzione centrali. Gli attaccanti, umani o agentici, vanno dove sono i bersagli deboli, e in questo momento molta infrastruttura IA distribuita in fretta rientra in questa categoria.
Cosa significa per i team software USA & UE
La prima lezione è che il time-to-patch è ora un controllo di sicurezza, non una metrica di igiene. La CVE-2025-3248 era una falla nota e correggibile; la compromissione è avvenuta perché è stata lasciata aperta. Quando lo sfruttamento corre alla velocità della macchina, la finestra tollerabile tra divulgazione e rimedio si restringe. Dai priorità in modo aggressivo alle vulnerabilità esposte su Internet e note come sfruttate, e tratta l'esposizione di qualsiasi endpoint di amministrazione o sviluppo come un rilevamento di livello incidente, non come un ticket di backlog.
La seconda lezione è che i tuoi strumenti IA richiedono la stessa disciplina della produzione. Langflow, MinIO, Nacos e i loro simili sono vera infrastruttura nel momento in cui toccano credenziali reali. Tienili fuori dall'Internet pubblico, mettili dietro autenticazione e controlli di rete, ruota via da ogni credenziale predefinita, e assegna alle identità di database e cloud ambiti di minimo privilegio così che un singolo host compromesso non possa esportare tutto. È il normale hardening cloud e DevOps applicato alle parti dello stack abbastanza nuove da essere state saltate.
La terza lezione riguarda rilevamento e risposta con tempi compressi. Le firme statiche non catturano un attaccante che riscrive i propri payload, quindi affidati al rilevamento comportamentale — accesso insolito alle credenziali, scansione interna, cifratura di massa, egress inatteso — e assicurati che la risposta possa muoversi rapidamente una volta che qualcosa scatta. Per le piattaforme FinTech e HealthTech regolamentate, un attacco automatizzato che rivendica esfiltrazione di massa e distrugge dati è anche un problema di notifica di violazione e continuità ai sensi di GDPR, DORA e HIPAA, quindi l'esercitazione a tavolino deve coprire uno scenario alla velocità della macchina, non solo uno lento e umano.
Cosa fare in questo trimestre
Tratta JADEPUFFER come uno stimolo a chiudere le falle specifiche che ha sfruttato — nessuna delle quali è esotica.
- Inventaria gli strumenti IA esposti su Internet. Trova ogni Langflow, MinIO, vector store, orchestratore o endpoint di amministrazione esposto, e mettilo dietro autenticazione e controlli di rete.
- Elimina le credenziali predefinite. Verifica la presenza di default in stile
minioadmine di password root condivise tra sviluppo e produzione; ruota e imponi ovunque un'autenticazione forte. - Riduci il time-to-patch. Dai priorità alle CVE note come sfruttate ed esposte su Internet su un orologio di giorni, non di trimestri; monitora la tua finestra di rimedio come metrica.
- Imponi il minimo privilegio. Limita le credenziali di database e cloud così che un singolo host compromesso non possa esportare segreti né raggiungere i dati di produzione.
- Strumenta per il comportamento, non per le firme. Allerta su scansione interna, uso anomalo di credenziali, cifratura di massa ed egress insolito; presumi che l'attaccante si adatti.
- Prova un incidente alla velocità della macchina. Aggiorna l'esercitazione a tavolino per un'intrusione automatizzata, e conferma che i tuoi percorsi di notifica e recupero reggano ai sensi di GDPR, DORA o HIPAA.
Nulla di tutto ciò è consulenza legale, e i tuoi obblighi precisi dipendono dal tuo settore e dalla tua giurisdizione. Ma la lettura strategica è chiara: gli attaccanti stanno automatizzando le parti di routine delle intrusioni, i punti d'ingresso si trovano sempre più nello stack IA che i team costruiscono in fretta, e i team che restano al sicuro sono quelli che applicano patch rapidamente, mettono in sicurezza i loro strumenti e sanno rispondere alla stessa velocità con cui l'attacco si muove.
Domande frequenti
Che cos'è il ransomware agentico?
Il ransomware agentico è un'operazione ransomware i cui passi d'attacco sono eseguiti da un agente IA autonomo — tipicamente un grande modello linguistico — anziché da un umano che usa strumenti a mano. Sysdig ha applicato l'etichetta a JADEPUFFER, divulgato all'inizio di luglio 2026, che descrive come la prima estorsione documentata guidata end-to-end da un LLM: ricognizione, furto di credenziali, movimento laterale, escalation e cifratura, con l'agente che si adatta agli errori in tempo reale.
L'attacco JADEPUFFER era completamente autonomo?
Non del tutto. Sysdig l'ha prima descritto come funzionante senza supervisione umana, poi ha chiarito che un umano ha comunque predisposto e indirizzato l'operazione, allestito l'infrastruttura e fornito alcune credenziali. La catena d'attacco tecnica è stata eseguita dall'agente LLM, ma gli umani l'hanno definita e avviata, e Sysdig non è riuscita a identificare il modello specifico né a leggere il suo prompt di sistema.
Come ha fatto l'agente IA a entrare?
Tramite un'istanza Langflow esposta su Internet — un popolare strumento open source per costruire app LLM — sfruttando la CVE-2025-3248, una falla critica di autenticazione mancante che consente l'esecuzione Python non autenticata. Ha poi esportato un database Postgres locale, raccolto credenziali cloud e API, enumerato uno store MinIO con credenziali predefinite, si è spostato a un database di produzione e ha cifrato 1.342 elementi di configurazione.
Perché il ransomware agentico è importante per i team software?
Comprime i tempi d'attacco alla velocità della macchina e abbassa la soglia di competenza per un'intrusione completa — in una sequenza l'agente ha corretto un login fallito in 31 secondi. Mostra anche che lo stack IA è ora superficie d'attacco: il punto d'ingresso era uno strumento di sviluppo IA esposto con una falla nota e non corretta. Tratta gli strumenti LLM esposti su Internet, le credenziali predefinite e la lentezza delle patch come rischi di primo ordine.
Come ci si difende da attacchi guidati dall'IA come questo?
I fondamentali funzionano ancora, ma il margine di ritardo è minore. Tieni gli strumenti IA come Langflow e gli object store come MinIO fuori dall'Internet pubblico, rimuovi le credenziali predefinite, applica rapidamente le patch alle CVE note, limita l'accesso a database e cloud al minimo privilegio, e aggiungi rilevamento comportamentale e monitoraggio dell'egress in grado di segnalare ricognizione alla velocità della macchina e cifratura di massa. Poiché l'agente si adatta, le firme statiche non bastano.
Fonti
Sysdig — JADEPUFFER: Agentic ransomware for automated database extortion
Fortune — The first known ‘agentic ransomware’ has arrived
TechCrunch — The ‘first’ AI-run ransomware attack still needed a human
BleepingComputer — JadePuffer ransomware used AI agent to automate entire attack