Cybersicherheit · Agentische KI
JadePuffer: Die erste Ransomware-Attacke, die ein KI-Agent von Anfang bis Ende selbst durchführte
Das US-Sicherheitsunternehmen Sysdig hat unter dem Codenamen „JadePuffer" eine Angriffskampagne offengelegt, die sein Threat-Research-Team unter Leitung von Michael Clark als „ersten dokumentierten Fall von agentischer Ransomware" bezeichnet: eine komplette Erpressungsoperation, die von Anfang bis Ende von einem großen Sprachmodell gesteuert wurde. Die Analyse erschien Anfang Juli auf dem Sysdig-Blog und wurde in den Folgetagen unter anderem von TechCrunch, BleepingComputer, Infosecurity Magazine und der Sicherheitsseite Cybernews aufgegriffen — sämtliche Berichte stützen sich auf dieselbe Primärquelle, es handelt sich also um eine einzelne, breit bestätigte Offenlegung, nicht um mehrere unabhängige Untersuchungen.
Der Einstiegspunkt war denkbar profan: eine ungepatchte, öffentlich erreichbare Instanz von Langflow, einem quelloffenen Framework zum Bauen von LLM-Anwendungen, verwundbar über die bekannte Sicherheitslücke CVE-2025-3248. Von dort aus lief laut Sysdig ohne fortlaufende menschliche Detailsteuerung ein kompletter Angriffszyklus ab: automatisierte Systemerkennung, paralleles Absammeln von Zugangsdaten für LLM-Anbieter (OpenAI, Anthropic, DeepSeek, Gemini), Cloud-Plattformen, Krypto-Wallets und Datenbanken; das Herunterladen einer Langflow-Postgres-Datenbank samt Terraform-Konfigurationsdateien aus einem offen erreichbaren MinIO-Speicher mit Standard-Zugangsdaten; die Installation eines Cron-basierten Persistenzmechanismus mit 30-minütigem Beacon; und schließlich der Sprung auf einen produktiven MySQL-Server mit Alibabas Nacos-Konfigurationsdienst — dort ausgenutzt über eine bekannte Authentifizierungslücke (CVE-2021-29441) in Kombination mit unveränderten Standard-JWT-Signierschlüsseln, mit denen sich Admin-Sitzungen fälschen ließen. Am Ende verschlüsselte der Agent 1.342 Nacos-Konfigurationseinträge per AES, löschte die zugrunde liegenden Tabellen und hinterließ eine selbst verfasste Lösegeldforderung in Bitcoin.
Besonders bemerkenswert dokumentiert Sysdig vier konkrete Momente eigenständiger Fehlerkorrektur: Als eine MinIO-Anfrage unerwartet XML statt des erwarteten JSON-Formats zurücklieferte, passte der Agent seinen Parser an und wiederholte die Anfrage. Als ein Admin-Login bei Nacos um 19:34:36 UTC fehlschlug, diagnostizierte der Agent ein PATH-Problem im Subprozess und behob es durch einen direkten bcrypt-Import — ein funktionierendes Hintertür-Konto stand um 19:35:07 Uhr, nach 31 Sekunden Fehlersuche. Ein stillschweigend fehlgeschlagener „DROP DATABASE"-Befehl wurde erneut versucht, diesmal mit vorangestelltem „SET GLOBAL FOREIGN_KEY_CHECKS=0". Und als die JWT-Fälschung an einem kundenspezifischen Secret scheiterte, wechselte der Agent selbstständig auf die zuvor erbeuteten Root-Zugangsdaten. Sysdig wertet die im Code hinterlassenen Klartext-Kommentare zur eigenen Vorgehensweise, das Tempo und die untypisch nicht-repetitive Angriffsstruktur als Verhaltensindizien für KI-Autorenschaft.
Die titelgebende Einschränkung von TechCrunch — „still needed a human" — bezieht sich auf einen wichtigen Nuance-Punkt, den Sysdig selbst einräumt: Ein Mensch wählte weiterhin das Ziel aus, richtete die Infrastruktur ein (Command-and-Control-Server, Datenablage-Server) und beschaffte die Root-Zugangsdaten der Datenbank über eine vorherige, separate Kompromittierung, bevor er sie dem Agenten übergab. Der KI-Agent führte also die eigentliche technische Angriffskette eigenständig aus — Zielauswahl, Infrastruktur-Aufbau und ein entscheidender Zugangsschlüssel blieben jedoch weiterhin Menschenwerk. Unklar bleibt zudem, welches KI-Modell den Angriff tatsächlich steuerte: Die im Datenleck gefundenen API-Schlüssel mehrerer Anbieter waren nach Sysdigs eigener Einschätzung gestohlene Beute, kein Beleg dafür, welches Modell tatsächlich hinter der Angriffssteuerung stand. Auch die Identität des Opfers bleibt unbekannt, und selbst die Bitcoin-Adresse in der Lösegeldforderung wirft Fragen auf — es handelt sich um eine bekannte Beispieladresse aus der Bitcoin-Dokumentation, sodass Sysdig nicht ausschließen kann, dass das Modell sie aus Trainingsdaten halluzinierte, statt eine echte Wallet einzusetzen.
JadePuffer ist ein eigenständiger Vorfall, keine Fortsetzung von Anthropics Offenlegung vom November 2025, als die chinesische Gruppe „GTG-1002" nach Unternehmensangaben 80 bis 90 Prozent einer groß angelegten Spionagekampagne gegen rund 30 Organisationen über Claude-Code-Werkzeuge automatisiert hatte. Für Sicherheitsverantwortliche verschiebt sich mit JadePuffer dennoch die Grundannahme: Wenn ein KI-Agent bereits heute eine mehrstufige Angriffskette samt eigenständiger Fehlerbehebung in Sekunden statt Stunden durchlaufen kann, verkürzt sich das Zeitfenster zwischen erster Kompromittierung und vollständigem Datenverlust drastisch — Standard-Zugangsdaten, offene Speicher-Buckets und ungepatchte, öffentlich erreichbare KI-Frameworks werden damit zu einem noch dringlicheren Sanierungsfall als ohnehin schon.
- Sysdig — JADEPUFFER: Agentic ransomware for automated database extortion
- TechCrunch — The 'first' AI-run ransomware attack still needed a human
- BleepingComputer — JadePuffer ransomware used AI agent to automate entire attack
- Infosecurity Magazine — Researchers Claim First Fully Agentic Ransomware: JadePuffer
- Security Affairs — JADEPUFFER: First End-to-End AI-Driven Ransomware Operation
- Axios — Chinese hackers used Anthropic's Claude AI agent to automate spying (Hintergrund, Nov. 2025)