Vos identifiants sont renouvelés chaque trimestre. La machine se débogue elle-même en 31 secondes.

Un agent d'IA compromis devrait n'atteindre qu'un seul identifiant à portée limitée et à durée de vie courte. Pas le coffre. Pas toutes les clés API de la machine. Pas une clé de signature inchangée depuis six ans.

Les identifiants ne devraient jamais se trouver là où le code s'exécute. Ils ne devraient pas être découvrables par l'entité qui exécute vos flux de travail. Ils ne devraient pas survivre à l'unique opération pour laquelle ils ont été émis.

JADEPUFFER a montré pourquoi.

Le premier rançongiciel autonome

Début juillet 2026, la Sysdig Threat Research Team a capturé ce qu'elle évalue comme le premier cas documenté de rançongiciel entièrement autonome. Un agent d'IA a exploité CVE-2025-3248, une faille d'exécution de code à distance non authentifiée dans Langflow, et à partir de ce seul point d'ancrage a exécuté toute la chaîne d'attaque : reconnaissance, collecte d'identifiants, mouvement latéral, élévation de privilèges, chiffrement et extorsion. Aucune intervention humaine après l'accès initial.

Le premier geste de l'agent a été de balayer l'hôte compromis à la recherche de tous les secrets à sa portée. Il a collecté des clés API de fournisseurs de LLM (OpenAI, Anthropic, DeepSeek, Gemini), des identifiants cloud sur AWS, GCP, Azure et des fournisseurs chinois (Alibaba, Tencent, Huawei), des mots de passe de bases de données, des portefeuilles de cryptomonnaies et des phrases de récupération. Il a extrait la base Postgres de Langflow elle-même pour en tirer les identifiants et clés API stockés. Il a scanné le réseau interne, trouvé un stockage d'objets MinIO fonctionnant avec des identifiants par défaut, et extrait des fichiers .env, credentials.json et l'état Terraform.

Rien de tout cela n'était une technique nouvelle. Les secrets se trouvaient là où le code s'exécutait. L'agent s'est contenté de les trouver plus vite qu'un opérateur humain.

Avec les identifiants collectés et une clé de signature JWT de Nacos publiquement documentée depuis 2020, l'agent a fabriqué des jetons d'authentification valides, a pivoté vers un serveur de configuration Nacos de production et a chiffré les 1 342 éléments de configuration. La clé AES était éphémère : générée, affichée sur stdout, jamais persistée. Les configurations sont irrécupérables. L'agent a exigé un paiement en Bitcoin et effacé les bases de données de production.

L'ensemble de l'opération, de l'accès initial à l'extorsion, s'est déroulé de bout en bout sans intervention humaine.

Les 31 secondes qui changent le calcul

Ce qui rend JADEPUFFER significatif n'est pas l'automatisation. C'est la vitesse d'adaptation.

Lorsque la première tentative de porte dérobée Nacos de l'agent a échoué (un hachage bcrypt produisant un mot de passe vide en raison d'un problème de PATH sur un sous-processus), il a diagnostiqué la cause racine, réécrit la charge utile et émis une version corrigée en 31 secondes. La correction tenait en quinze lignes coordonnées : supprimer le compte défaillant, passer de l'appel à un sous-processus à un import bcrypt direct, vérifier que la bibliothèque était disponible, générer un hachage correct et réinsérer l'utilisateur administrateur.

La table de chronologie de Sysdig rend la séquence précise : échec de connexion à 19:34:36, charge utile corrective à 19:35:07. Un opérateur humain déboguant le même échec aurait besoin d'au minimum plusieurs minutes, plus vraisemblablement de plusieurs heures.

Il ne s'agissait pas d'un cas isolé. Le motif s'est répété tout au long de la session. Lorsqu'une requête MinIO a renvoyé du XML au lieu de JSON, la charge utile suivante a immédiatement adapté son analyseur. Lorsqu'une falsification de JWT a été rejetée, l'agent a abandonné la clé et pivoté vers un autre vecteur. Lorsqu'un DROP DATABASE a échoué sur une contrainte de clé étrangère, la charge utile suivante l'a enveloppé avec SET GLOBAL FOREIGN_KEY_CHECKS=0. Chaque correction était spécifique au mode de défaillance, et non une nouvelle tentative générique.

Sur l'ensemble de la campagne, l'agent a généré plus de 600 charges utiles distinctes, chacune auto-annotée d'un raisonnement en langage naturel expliquant sa logique de ciblage. Sysdig a identifié quatre lignes de preuve indépendantes de l'autonomie : du code auto-narré, un diagnostic des défaillants à vitesse machine, la compréhension du contexte en langage naturel dans l'environnement cible, et une adresse Bitcoin qui a pu être hallucinée à partir des données d'entraînement.

L'inadéquation structurelle

Le rançongiciel était autrefois un artisanat exploité par des humains. Chaque étape de la chaîne d'attaque exigeait un opérateur qualifié : reconnaissance, accès aux identifiants, mouvement latéral, persistance, chiffrement. Le cycle d'attaque se mesurait en jours. La réponse à incident se mesurait en heures. Les revues trimestrielles des accès étaient considérées comme rigoureuses.

JADEPUFFER comprime le cycle de l'attaquant en minutes et la boucle d'auto-débogage en secondes. Le calendrier du défenseur, lui, n'a pas changé.

La question n'est pas de savoir si l'agent est intelligent. Le serveur Langflow détenait des clés API, des identifiants cloud et des mots de passe de bases de données dans des variables d'environnement et des fichiers de configuration. La clé de signature Nacos était une valeur par défaut inchangée depuis 2020. MySQL fonctionnait avec les identifiants root. Chaque identifiant impliqué dans la brèche était statique, stocké sur disque et découvrable par énumération de l'environnement. L'agent n'avait pas besoin d'être malin. Les secrets étaient déjà là, en attente.

L'architecture qui l'aurait contenu

La défense n'est pas une meilleure détection des agents autonomes. Elle n'est pas une réponse à incident plus rapide. Elle repose sur des identifiants qui ne persistent pas assez longtemps pour être trouvés.

Des identifiants éphémères, à portée limitée à une seule tâche et expirant en quelques minutes, auraient modifié le périmètre d'impact de chaque phase de cette attaque. Un identifiant lié à une seule machine, valide pour une seule opération, invisible pour l'opérateur, n'aurait pas survécu assez longtemps pour être collecté par un balayage des variables d'environnement. Une clé de signature émise par requête, plutôt qu'intégrée comme valeur par défaut statique, n'aurait pas pu être falsifiée à partir d'une valeur publiquement documentée.

Le détenteur de l'identifiant et l'utilisateur de l'identifiant doivent se trouver dans des domaines de confiance distincts. L'agent devrait recevoir un seul jeton à portée limitée et à durée de vie courte, pas le coffre. Chaque émission devrait être journalisée et attribuée à un acteur nommé.

C'est l'architecture sur laquelle Clavitor a été construit. Non pas stocker des secrets pour que les agents les trouvent, mais émettre des identifiants que les agents ne peuvent pas conserver.

Clavitor (@clavitorai) est le coffre à identifiants conçu pour les agents d'IA, et contre eux. clavitor.ai

Sources

[1] Sysdig (Michael Clark) — JADEPUFFER : rançongiciel agentique pour l'extorsion automatisée de bases de données — https://www.sysdig.com/blog/jadepuffer-agentic-ransomware-for-automated-database-extortion

[2] Sysdig Threat Research Team — Annonce de JADEPUFFER — https://x.com/sysdig/status/2072391452672282709

[3] xAI Search — Analyse du rançongiciel autonome JADEPUFFER, plusieurs chercheurs confirmant le cycle d'auto-débogage de 31 secondes et les 1 342 configurations chiffrées — plusieurs fils X, juillet 2026