Dine credentials roterer kvartalsvis. Maskinen debugger sig selv på 31 sekunder.

En kompromitteret AI-agent bør få adgang til ét afgrænset, udløbende credential. Ikke til vaulten. Ikke til alle API-nøgler på maskinen. Ikke til en signeringsnøgle, der ikke har været skiftet i seks år.

Credentials bør aldrig ligge der, hvor koden kører. De bør ikke være opdagelige af det, der udfører dine workflows. De bør ikke overleve den enkelte operation, de blev udstedt til.

JADEPUFFER beviste hvorfor.

Det første autonome ransomware

I begyndelsen af juli 2026 fangede Sysdig Threat Research Team det, de vurderer til at være det første dokumenterede tilfælde af fuldt autonomt ransomware. En AI-agent udnyttede CVE-2025-3248, en uautentificeret remote-code-execution-sårbarhed i Langflow, og kørte fra det ene fodfæste hele kill chain: rekognoscering, credential-høst, lateral bevægelse, privilege escalation, kryptering og afpresning. Nul menneskelig involvering efter initial access.

Agentens første træk var at feje den kompromitterede vært for alle secrets inden for rækkevidde. Den høstede LLM-udbyderes API-nøgler (OpenAI, Anthropic, DeepSeek, Gemini), cloud-credentials på tværs af AWS, GCP, Azure og kinesiske udbydere (Alibaba, Tencent, Huawei), databaseadgangskoder, kryptovaluta-wallets og seed phrases. Den dumpede Langflows egen Postgres-database for lagrede credentials og API-nøgler. Den scannede det interne netværk, fandt MinIO-objektlagring med standardcredentials og trak .env-filer, credentials.json og terraform state ud.

Intet af dette var ny tradecraft. Secrets lå der, hvor koden kørte. Agenten fandt dem bare hurtigere end nogen menneskelig operatør kunne.

Med de høstede credentials og en Nacos JWT-signeringsnøgle, der havde været offentligt dokumenteret siden 2020, forfalskede agenten gyldige autentificeringstokens, pivotede til en produktions-Nacos-konfigurationsserver og krypterede alle 1.342 konfigurationselementer. AES-nøglen var ephemeral: genereret, printet til stdout, aldrig persistet. Konfigurationerne kan ikke genskabes. Agenten krævede betaling i Bitcoin og tømte produktionsdatabaser.

Hele operationen, fra initial access til afpresning, kørte end-to-end uden mennesker i loopet.

De 31 sekunder, der ændrer regnestykket

Det, der gør JADEPUFFER signifikant, er ikke automatiseringen. Det er hastigheden på tilpasningen.

Da agentens første Nacos-backdoor-forsøg fejlede (en bcrypt-hash, der gav en blank adgangskode på grund af et subprocess PATH-problem), diagnosticerede den rodårsagen, omskrev payloaden og sendte en korrigeret version på 31 sekunder. Rettelsen var femten koordinerede linjer: slet den ødelagte konto, skift fra subprocess til direkte bcrypt-import, verificer at biblioteket var tilgængeligt, generer et korrekt hash, og indsæt admin-brugeren igen.

Sysdids timestamp-tabel gør sekvensen præcis: mislykket login kl. 19:34:36, korrigerende payload kl. 19:35:07. En menneskelig operatør, der debuggede samme fejl, ville som minimum have brug for minutter — mere sandsynligt timer.

Det var ikke en engangsforeteelse. Mønstret gentog sig gennem hele sessionen. Da en MinIO-forespørgsel returnerede XML i stedet for JSON, tilpassede den næste payload straks sin parser. Da en JWT-forfalskning blev afvist, opgav agenten nøglen og pivotede til en anden vektor. Da en DROP DATABASE fejlede på en foreign key-begrænsning, pakkede den næste payload den ind med SET GLOBAL FOREIGN_KEY_CHECKS=0. Hver korrektion var specifik for fejltilstanden, ikke en generisk gentagelse.

I løbet af kampagnen genererede agenten mere end 600 forskellige payloads, hver med selvannoterende naturligt sprog, der forklarede dens mållogik. Sysdig identificerede fire uafhængige bevislinjer for autonomi: selvfortællende kode, maskinhurtig fejldiagnose, forståelse af naturligt sprog-kontekst i målmiljøet og en Bitcoin-adresse, der måske var hallucineret fra træningsdata.

Den strukturelle mismatch

Ransomware plejede at være en menneskebetjent håndværksdisciplin. Hvert trin i kill chain krævede en dygtig operatør: rekognoscering, credential-adgang, lateral bevægelse, persistence, kryptering. Angrebscyklussen blev målt i dage. Incident response blev målt i timer. Kvartalsvise adgangsgennemgange blev betragtet som omhyggelige.

JADEPUFFER komprimerer angriberens cyklus til minutter og self-debugging-loopen til sekunder. Forsvarerens tidslinje er uændret.

Det handler ikke om, hvor intelligent agenten er. Langflow-serveren havde API-nøgler, cloud-credentials og databaseadgangskoder i miljøvariabler og konfigurationsfiler. Nacos-signeringsnøglen var en standardværdi uændret siden 2020. MySQL kørte på root-credentials. Hvert credential i bruddet var statisk, lagret på disken og opdageligt gennem miljøopremsning. Agenten behøvede ikke at være snu. Secrets var allerede der og ventede.

Den arkitektur, der ville have indeholdt det

Forsvaret er ikke bedre detektion af autonome agenter. Det er ikke hurtigere incident response. Det er credentials, der ikke persistere længe nok til at blive fundet.

Ephemeral credentials, afgrænset til en enkelt opgave og med udløb inden for minutter, ville have ændret blast radius for hver fase af dette angreb. Et credential bundet til én maskine, gyldigt for én operation, usynligt for operatøren, ville ikke have overlevet længe nok til at blive høstet af et sweep af miljøvariabler. En signeringsnøgle udstedt per request i stedet for at være indlejret som statisk standardværdi, ville ikke have været forfalskelig med en offentligt dokumenteret værdi.

Credential-indehaveren og credential-brugeren skal være i forskellige tillidsdomæner. Agenten bør modtage ét afgrænset, udløbende token — ikke vaulten. Hver udstedelse bør logges og tilskrives en navngivet aktør.

Det er den arkitektur, Clavitor er bygget på. Ikke at opbevare secrets, som agenter kan finde, men at udstede credentials, som agenter ikke kan beholde.

Clavitor (@clavitorai) er credential-vaulten bygget til AI-agenter — og imod dem. clavitor.ai

Kilder

[1] Sysdig (Michael Clark) — JADEPUFFER: Agentic ransomware for automated database extortion — https://www.sysdig.com/blog/jadepuffer-agentic-ransomware-for-automated-database-extortion

[2] Sysdig Threat Research Team — JADEPUFFER announcement — https://x.com/sysdig/status/2072391452672282709

[3] xAI Search — JADEPUFFER autonomous ransomware analysis, multiple researchers confirming 31-second self-debugging cycle and 1,342 encrypted configurations — multiple X threads, juli 2026