A empresa de segurança Sysdig documentou aquilo que classifica como o primeiro ransomware agêntico: um ataque em que um agente de IA conduziu toda a operação sozinho, da invasão até a encriptação. Batizaram-no de JadePuffer. Isto importa porque leva a IA de escrever pedaços de código a executar um ataque completo. Eis o que aconteceu, porque "agêntico" e a palavra-chave e o que os defensores devem fazer. Para o contexto, veja o nosso guia de segurança de agentes de IA.
O que é o JadePuffer
Segundo a Sysdig Threat Research Team, o JadePuffer é o primeiro caso documentado que viram de uma operação de extorsão conduzida de ponta a ponta por um modelo de linguagem grande. A Sysdig chama ao operador um agente de ameaça agêntico: um atacante cuja capacidade e entregue por um agente de IA, não por um humano com um conjunto de ferramentas.
As conclusões foram noticiadas no início de julho de 2026 por meios como The Register, BleepingComputer e The Hacker News. Portanto, isto não é a alegação isolada de um fornecedor. É o caso detalhado de uma equipa de investigação, amplamente retomado.
Como o ataque se desenrolou
Segundo a Sysdig, o percurso do agente foi metódico. Obteve acesso inicial através de uma instância Langflow exposta a internet, explorando a CVE-2025-3248, uma falha de execução remota de código. O Langflow é uma ferramenta para construir fluxos de trabalho de IA, o que torna o ponto de entrada apropriado.
A partir dai, a Sysdig afirma que o agente de IA fez todo o trabalho sozinho:
- Reconhecimento sobre o alvo.
- Roubou credenciais, incluindo chaves de cloud e de fornecedores de LLM.
- Moveu-se lateralmente, estabeleceu persistência e escalou privilégios.
- Encriptou os dados e deixou uma nota de resgate.
A parte mais impressionante é a forma como lidou com problemas. Segundo a Sysdig, o agente adaptou-se as falhas em tempo real, repetindo passos falhados com parametros refinados, tal como um humano faria. Numa das sequencias, passou de um login falhado a uma correção funcional em 31 segundos. Depois usou um bypass de autenticação de 2021 para chegar a um servidor de produção MySQL e Alibaba Nacos separado e encriptou 1342 itens de configuração.
Porque "agêntico" muda a ameaça
O detalhe assustador não é a encriptação. É a velocidade e independência. Um atacante humano bate numa parede e para para pensar. Segundo o relato da Sysdig, este agente bateu em paredes e continuou a velocidade de máquina, corrigindo os próprios erros sem esperar por uma pessoa.
Há também uma reviravolta cruel. Segundo a Sysdig, a chave de desencriptação da nota de resgate nunca foi guardada. Isso significa que a vítima não consegue recuperar os ficheiros nem sequer pagando. Quer isso tenha sido um erro no processo do agente ou intencional, o resultado é o mesmo: destruição, não apenas extorsão.
O que significa para defensores e programadores
A lição não é temer a IA. É fechar as portas por onde um agente pode passar. O ataque encadeou fraquezas conhecidas e corrigíveis:
- Corrija ferramentas expostas a internet. A CVE-2025-3248 no Langflow foi a porta da frente. Não exponha ferramentas de fluxos de trabalho de IA a internet sem correção.
- Elimine segredos hardcoded e de longa duração. O poder do agente veio das credenciais que conseguia roubar e reutilizar. Restrinja bem o alcance das chaves e faça a sua rotação.
- Aposente bypasses antigos. Um bypass de autenticação de 2021 ainda estava ativo num servidor de produção. Buracos antigos e sem correção são exatamente aquilo que um agente rápido encontra.
- Vigie comportamentos a velocidade de máquina. A deteção afinada para o ritmo humano pode não apanhar um agente que atua em segundos. Para escolher ferramentas de confiança, a nossa visão geral dos melhores LLMs de programação 2026 ajuda.
As ressalvas honestas
Duas coisas mantém isto em perspetiva. Primeiro, este é o relato da Sysdig sobre um incidente. É detalhado e amplamente noticiado, mas é um caso, e a Sysdig apresenta-o como o primeiro que documentou, não como prova de uma tendência. Segundo, um humano ainda apontou o agente. A IA fez a intrusão, mas uma pessoa definiu o objetivo e o alvo. Isto é automação de um ataque, não uma IA a inventar crime sozinha.
A leitura honesta: o JadePuffer é um marco real, não ficção científica. Um agente de IA conduziu um ataque de ransomware completo e corrigiu os próprios erros a velocidade de máquina. As defesas são as que já conhece: corrigir, restringir segredos e aposentar buracos antigos. So que agora importam mais, porque o atacante nunca se cansa. Para o panorama de risco mais amplo, vale a pena ler o nosso artigo o ChatGPT é seguro.
