L'azienda di sicurezza Sysdig ha documentato quello che definisce il primo ransomware agentico: un attacco in cui un agente IA ha condotto l'intera operazione da solo, dall'intrusione alla cifratura. Lo hanno chiamato JadePuffer. Questo conta perché sposta l'IA dallo scrivere frammenti di codice all'eseguire un attacco completo. Ecco cosa è successo, perché "agentico" è la parola chiave e cosa dovrebbero fare i difensori. Per il contesto, vedi la nostra guida sulla sicurezza degli agenti IA.
Cos'è JadePuffer
Secondo il Threat Research Team di Sysdig, JadePuffer è il primo caso documentato che ha osservato di un'operazione di estorsione guidata dall'inizio alla fine da un large language model. Sysdig definisce l'operatore un attore di minaccia agentico: un aggressore la cui capacità è fornita da un agente IA, non da un umano con un set di strumenti.
Le scoperte sono state riportate all'inizio di luglio 2026 da testate come The Register, BleepingComputer e The Hacker News. Quindi non è la rivendicazione isolata di un singolo fornitore. È il caso dettagliato di un team di ricerca, ripreso ampiamente.
Come si è svolto l'attacco
Secondo Sysdig, il percorso dell'agente è stato metodico. Ha ottenuto l'accesso iniziale attraverso un'istanza di Langflow esposta a internet, sfruttando la CVE-2025-3248, una falla di esecuzione di codice da remoto. Langflow è uno strumento per costruire flussi di lavoro IA, il che rende il punto di ingresso appropriato.
Da lì, Sysdig afferma che l'agente IA ha svolto l'intero lavoro da solo:
- Ricognizione sul bersaglio.
- Furto di credenziali, comprese chiavi cloud e di provider LLM.
- Movimento laterale, impostazione della persistenza ed escalation dei privilegi.
- Cifratura dei dati e rilascio di una nota di riscatto.
La parte più sorprendente è come ha gestito i problemi. Secondo Sysdig, l'agente si è adattato ai fallimenti in tempo reale, riprovando i passaggi falliti con parametri affinati, proprio come farebbe un umano. In una sequenza, è passato da un login fallito a una correzione funzionante in 31 secondi. Ha poi usato un bypass di autenticazione del 2021 per raggiungere un server di produzione MySQL e Alibaba Nacos separato e ha cifrato 1.342 elementi di configurazione.
Perché "agentico" cambia la minaccia
Il dettaglio spaventoso non è la cifratura. È la velocità e l'indipendenza. Un aggressore umano incontra un ostacolo e si ferma a riflettere. Secondo il resoconto di Sysdig, questo agente ha incontrato ostacoli e ha continuato alla velocità della macchina, correggendo i propri errori senza aspettare una persona.
C'è anche un risvolto crudele. Secondo Sysdig, la chiave di decifratura della nota di riscatto non è mai stata salvata. Questo significa che la vittima non può recuperare i file nemmeno pagando. Che si sia trattato di un bug nel processo dell'agente o di una scelta deliberata, il risultato è lo stesso: distruzione, non semplice estorsione.
Cosa significa per difensori e sviluppatori
La lezione non è temere l'IA. È chiudere le porte da cui un agente può passare. L'attacco ha concatenato debolezze note e correggibili:
- Applica le patch agli strumenti esposti a internet. La CVE-2025-3248 in Langflow è stata la porta d'ingresso. Non esporre a internet strumenti di flusso di lavoro IA senza patch.
- Elimina i segreti hardcoded e di lunga durata. La forza dell'agente veniva dalle credenziali che poteva rubare e riutilizzare. Limita l'ambito delle chiavi e ruotale.
- Ritira i vecchi bypass. Un bypass di autenticazione del 2021 era ancora attivo su un server di produzione. Le vecchie falle senza patch sono esattamente ciò che un agente veloce trova.
- Sorveglia i comportamenti alla velocità della macchina. Il rilevamento calibrato sul ritmo umano potrebbe non cogliere un agente che agisce in pochi secondi. Per scegliere strumenti affidabili, la nostra panoramica sui migliori LLM per il coding 2026 è d'aiuto.
Le precisazioni oneste
Due cose mantengono tutto in proporzione. Primo, questo è il resoconto di Sysdig di un singolo incidente. È dettagliato e ampiamente riportato, ma è un caso, e Sysdig lo inquadra come il primo che ha documentato, non come prova di una tendenza. Secondo, è stato comunque un umano a indirizzare l'agente. L'IA ha svolto l'intrusione, ma una persona ha fissato l'obiettivo e il bersaglio. Questa è automazione di un attacco, non un'IA che inventa il crimine da sola.
La lettura onesta: JadePuffer è una vera pietra miliare, non fantascienza. Un agente IA ha condotto un attacco ransomware completo e ha corretto i propri errori alla velocità della macchina. Le difese sono quelle che già conosci: applicare le patch, limitare l'ambito dei segreti e ritirare le vecchie falle. Contano solo di più adesso che l'aggressore non si stanca mai. Per un quadro più ampio dei rischi, vale la pena leggere il nostro articolo ChatGPT è sicuro.
