Ihre Zugangsdaten rotieren vierteljährlich. Die Maschine debuggt sich selbst in 31 Sekunden.

Ein kompromittierter KI-Agent sollte genau ein begrenztes Zugangsdatum mit kurzer Gültigkeit erreichen. Nicht den Tresor. Nicht jeden API-Schlüssel auf der Maschine. Nicht einen Signaturschlüssel, der seit sechs Jahren unverändert geblieben ist.

Zugangsdaten sollten nie dort liegen, wo Code ausgeführt wird. Sie sollten für die Instanz, die Ihre Workflows ausführt, nicht auffindbar sein. Sie sollten nicht länger bestehen als die einzelne Operation, für die sie ausgestellt wurden.

JADEPUFFER hat gezeigt, warum.

Die erste autonome Ransomware

Anfang Juli 2026 hat das Sysdig Threat Research Team aufgezeichnet, was sie als ersten dokumentierten Fall vollständig autonomer Ransomware einstufen. Ein KI-Agent nutzte CVE-2025-3248 aus, eine nicht authentifizierte Schwachstelle zur Remote-Code-Ausführung in Langflow, und führte von diesem einen Fußpunkt aus die gesamte Angriffskette aus: Aufklärung, Einsammeln von Zugangsdaten, laterale Bewegung, Rechteerhöhung, Verschlüsselung und Erpressung. Nach dem initialen Zugriff keine menschliche Beteiligung.

Der erste Schritt des Agents bestand darin, den kompromittierten Host nach jedem erreichbaren Geheimnis abzusuchen. Er sammelte API-Schlüssel von LLM-Anbietern (OpenAI, Anthropic, DeepSeek, Gemini), Cloud-Zugangsdaten bei AWS, GCP, Azure und chinesischen Anbietern (Alibaba, Tencent, Huawei), Datenbankpasswörter, Kryptowallets und Seed-Phrasen. Er entleerte Langflows eigene Postgres-Datenbank nach gespeicherten Zugangsdaten und API-Schlüsseln. Er durchsuchte das interne Netzwerk, fand MinIO-Objektspeicher mit Standardzugangsdaten und extrahierte .env-Dateien, credentials.json und Terraform-States.

Nichts davon war neuartige Vorgehensweise. Die Geheimnisse lagen dort, wo der Code lief. Der Agent hat sie nur schneller gefunden als jeder menschliche Operator.

Mit den eingesammelten Zugangsdaten und einem Nacos-JWT-Signaturschlüssel, der seit 2020 öffentlich dokumentiert war, fälschte der Agent gültige Authentifizierungs-Token, schwenkte auf einen produktiven Nacos-Konfigurationsserver um und verschlüsselte alle 1.342 Konfigurationseinträge. Der AES-Schlüssel war flüchtig: erzeugt, auf stdout ausgegeben, nie persistiert. Die Konfigurationen sind unwiederbringlich verloren. Der Agent forderte eine Bitcoin-Zahlung und löschte die Produktionsdatenbanken.

Der gesamte Ablauf, vom initialen Zugriff bis zur Erpressung, lief end-to-end ohne menschliche Beteiligung.

Die 31 Sekunden, die die Rechnung verändern

Was JADEPUFFER bedeutsam macht, ist nicht die Automatisierung. Es ist die Geschwindigkeit der Anpassung.

Als der erste Hintertürversuch des Agents in Nacos scheiterte (ein bcrypt-Hash, der wegen eines subprocess-PATH-Problems ein leeres Passwort ergab), diagnostizierte er die Ursache, schrieb die Payload neu und brachte eine korrigierte Version in 31 Sekunden heraus. Die Korrektur bestand aus fünfzehn aufeinander abgestimmten Zeilen: das defekte Konto löschen, von subprocess auf direkten bcrypt-Import wechseln, die Verfügbarkeit der Bibliothek prüfen, einen korrekten Hash erzeugen und den Admin-Benutzer wieder einfügen.

Die Zeitstempeltabelle von Sysdig macht die Abfolge präzise: fehlgeschlagene Anmeldung um 19:34:36, korrigierende Payload um 19:35:07. Ein menschlicher Operator, der denselben Fehler debuggt, bräuchte mindestens Minuten, wahrscheinlicher Stunden.

Das war kein Einzelfall. Das Muster wiederholte sich über die gesamte Sitzung. Als eine MinIO-Anfrage XML statt JSON zurückgab, passte die nächste Payload ihren Parser sofort an. Als eine JWT-Fälschung abgelehnt wurde, ließ der Agent den Schlüssel fallen und schwenkte auf einen anderen Vektor um. Als ein DROP DATABASE an einer Fremdschlüsselbedingung scheiterte, umschloss die nächste Payload es mit SET GLOBAL FOREIGN_KEY_CHECKS=0. Jede Korrektur war auf die jeweilige Fehlerursache zugeschnitten, nicht ein allgemeiner Wiederholungsversuch.

Im Verlauf der Kampagne erzeugte der Agent über 600 verschiedene Payloads, jede mit Selbstkommentierung in natürlicher Sprache, die die Ziellogik erläuterte. Sysdig identifizierte vier unabhängige Beleglinien für Autonomie: Code, der sich selbst narrativ kommentiert, Fehlerdiagnose im Maschinentempo, Verständnis von Kontext in natürlicher Sprache in der Zielumgebung sowie eine Bitcoin-Adresse, die möglicherweise aus Trainingsdaten halluciniert wurde.

Der strukturelle Widerspruch

Ransomware war früher eine handwerkliche, menschlich betriebene Tätigkeit. Jede Phase der Angriffskette erforderte einen erfahrenen Operator: Aufklärung, Zugriff auf Zugangsdaten, laterale Bewegung, Persistenz, Verschlüsselung. Der Angriffszyklus wurde in Tagen gemessen. Die Incident Response in Stunden. Vierteljährliche Zugriffsüberprüfungen galten als sorgfältig.

JADEPUFFER verkürzt den Zyklus des Angreifers auf Minuten und die Selbst-Debugging-Schleife auf Sekunden. Die Zeitleiste des Verteidigers hat sich nicht verändert.

Es ist keine Frage, wie schlau der Agent ist. Der Langflow-Server hielt API-Schlüssel, Cloud-Zugangsdaten und Datenbankpasswörter in Umgebungsvariablen und Konfigurationsdateien. Der Nacos-Signaturschlüssel war ein Standardwert, seit 2020 unverändert. MySQL lief mit root-Zugangsdaten. Jedes Zugangsdatum im Vorfall war statisch, auf Datenträger gespeichert und über die Enumeration von Umgebungsvariablen auffindbar. Der Agent musste nicht clever sein. Die Geheimnisse waren bereits da und warteten.

Die Architektur, die es eingedämmt hätte

Die Verteidigung ist keine bessere Erkennung autonomer Agenten. Sie ist keine schnellere Incident Response. Es sind Zugangsdaten, die nicht lange genug bestehen, um gefunden zu werden.

Flüchtige Zugangsdaten, auf eine einzelne Aufgabe begrenzt und innerhalb von Minuten ablaufend, hätten den Schadensradius jeder Phase dieses Angriffs verändert. Ein Zugangsdatum, an eine Maschine gebunden, für genau eine Operation gültig, für den Operator unsichtbar, hätte nicht lange genug überlebt, um bei einem Durchlauf über die Umgebungsvariablen eingesammelt zu werden. Ein Signaturschlüssel, der pro Anfrage ausgestellt wird statt als statischer Standardwert eingebettet zu sein, wäre mit einem öffentlich dokumentierten Wert nicht fälschbar gewesen.

Inhaber und Nutzer des Zugangsdatums müssen in verschiedenen Vertrauensdomänen liegen. Der Agent sollte genau ein begrenztes, ablaufendes Token erhalten, nicht den Tresor. Jede Ausstellung sollte protokolliert und einem namentlich benannten Akteur zugeordnet werden.

Dies ist die Architektur, auf der Clavitor aufgebaut wurde. Nicht Geheimnisse speichern, die Agenten finden, sondern Zugangsdaten ausgeben, die Agenten nicht behalten können.

Clavitor (@clavitorai) ist der Zugangsdatentresor, der für KI-Agenten gebaut wurde – und gegen sie. clavitor.ai

Quellen

[1] Sysdig (Michael Clark) — JADEPUFFER: Agentische Ransomware für automatisierte Datenbankerpressung — https://www.sysdig.com/blog/jadepuffer-agentic-ransomware-for-automated-database-extortion

[2] Sysdig Threat Research Team — Ankündigung zu JADEPUFFER — https://x.com/sysdig/status/2072391452672282709

[3] xAI Search — Analyse der autonomen Ransomware JADEPUFFER, mehrere Forscher bestätigen den 31-Sekunden-Selbstdebugging-Zyklus und 1.342 verschlüsselte Konfigurationen — mehrere X-Threads, Juli 2026