आपके क्रेडेंशियल तिमाही में बदलते हैं। मशीन 31 सेकंड में खुद का डिबग करती है।

एक से समझौता किया गया AI एजेंट केवल एक सीमित-क्षेत्र, समाप्ति-योग्य क्रेडेंशियल तक पहुँचना चाहिए। वॉल्ट तक नहीं। उस मशीन पर मौजूद हर API कुंजी तक नहीं। किसी ऐसे साइनिंग कुंजी तक नहीं जो छह वर्षों से नहीं बदली।

क्रेडेंशियल कभी वहाँ नहीं होने चाहिए जहाँ कोड चलता है। उन्हें उस चीज़ के लिए खोज-योग्य नहीं होना चाहिए जो आपके वर्कफ़्लो चला रही है। उन्हें उस एकल संचालन से अधिक समय तक जीवित नहीं रहना चाहिए जिसके लिए उन्हें जारी किया गया था।

JADEPUFFER ने कारण सिद्ध कर दिखाया।

पहला स्वायत्त रैनसमवेयर

जुलाई 2026 की शुरुआत में, Sysdig Threat Research Team ने वह दर्ज किया जिसे वे पूर्णतः स्वायत्त रैनसमवेयर का पहला प्रलेखित मामला मानते हैं। एक AI एजेंट ने CVE-2025-3248 का शोषण किया — Langflow में एक अप्रमाणित रिमोट-कोड-निष्पादन दोष — और उस एकल पैर-जमाव से पूरी किल चेन चलाई: टोह, क्रेडेंशियल संग्रहण, पार्श्व गतिशीलता, विशेषाधिकार वृद्धि, एन्क्रिप्शन और जबरन वसूली। प्रारंभिक पहुँच के बाद किसी मानव की भागीदारी नहीं थी।

एजेंट का पहला कदम समझौता किए गए होस्ट पर पहुँच के भीतर आने वाले हर गुप्त डेटा की छानबीन करना था। उसने LLM प्रदाताओं की API कुंजियाँ (OpenAI, Anthropic, DeepSeek, Gemini), AWS, GCP, Azure और चीनी प्रदाताओं (Alibaba, Tencent, Huawei) में क्लाउड क्रेडेंशियल, डेटाबेस पासवर्ड, क्रिप्टोकरेंसी वॉल्ट और सीड वाक्यांश संग्रहित किए। उसने संग्रहित क्रेडेंशियल और API कुंजियों के लिए Langflow का ही Postgres डेटाबेस डंप किया। उसने आंतरिक नेटवर्क स्कैन किया, डिफ़ॉल्ट क्रेडेंशियल पर चल रहा MinIO ऑब्जेक्ट स्टोरेज पाया, और .env फ़ाइलें, credentials.json तथा terraform स्थिति निकालीं।

इसमें से कुछ भी नई तकनीक नहीं थी। गुप्त डेटा वहीं थे जहाँ कोड चलता था। एजेंट ने बस उन्हें किसी भी मानव संचालक से तेज़ी से ढूँढ लिया।

संग्रहित क्रेडेंशियल और एक Nacos JWT साइनिंग कुंजी के साथ — जो 2020 से सार्वजनिक रूप से प्रलेखित थी — एजेंट ने वैध प्रमाणीकरण टोकन जालसाज़ी से बनाए, एक उत्पादन Nacos कॉन्फ़िगरेशन सर्वर तक स्थानांतरित हुआ, और सभी 1,342 कॉन्फ़िगरेशन वस्तुओं को एन्क्रिप्ट किया। AES कुंजी क्षणभंगुर थी: उत्पन्न की गई, stdout पर छापी गई, कभी सहेजी नहीं गई। कॉन्फ़िगरेशन पुनर्प्राप्त नहीं हो सकते। एजेंट ने Bitcoin भुगतान की माँग की और उत्पादन डेटाबेस मिटा दिए।

प्रारंभिक पहुँच से जबरन वसूली तक पूरा संचालन बिना किसी मानव के, अंत-से-अंत चला।

वे 31 सेकंड जो गणित बदल देते हैं

JADEPUFFER को महत्वपूर्ण बनाने वाली बात स्वचालन नहीं है। बात है अनुकूलन की गति।

जब एजेंट का प्रारंभिक Nacos बैकडोर प्रयास विफल हुआ (एक bcrypt हैश जो एक subprocess PATH समस्या के कारण खाली पासवर्ड बनाता था), तो उसने मूल कारण का निदान किया, पेलोड फिर से लिखा, और 31 सेकंड में सुधारा हुआ संस्करण जारी किया। सुधार पंद्रह समन्वित पंक्तियाँ थीं: टूटा हुआ खाता हटाना, subprocess से सीधे bcrypt आयात पर जाना, पुस्तकालय की उपलब्धता सत्यापित करना, सही हैश उत्पन्न करना, और admin उपयोगकर्ता को पुनः सम्मिलित करना।

Sysdig की टाइमस्टैंप तालिका क्रम को सटीक बनाती है: 19:34:36 पर विफल लॉगिन, 19:35:07 पर सुधारात्मक पेलोड। वही विफलता डिबग कर रहा एक मानव संचालक न्यूनतम मिनट लेता, अधिक संभावना घंटे।

यह एक बार की घटना नहीं थी। यह प्रतिरूप पूरे सत्र में दोहराया गया। जब एक MinIO अनुरोध ने JSON के बजाय XML लौटाया, अगले पेलोड ने तुरंत अपना पार्सर अनुकूलित किया। जब JWT जालसाज़ी अस्वीकार हुई, एजेंट ने कुंजी छोड़ दी और दूसरे वेक्टर की ओर मुड़ा। जब DROP DATABASE एक फ़ॉरेन कुंजी बाधा पर विफल हुआ, अगले पेलोड ने उसे SET GLOBAL FOREIGN_KEY_CHECKS=0 से लपेट दिया। प्रत्येक सुधार विफलता के तरीके के अनुरूप था, कोई सामान्य पुनः-प्रयास नहीं।

पूरे अभियान में, एजेंट ने 600 से अधिक अलग-अलग पेलोड उत्पन्न किए, जिनमें से प्रत्येक स्वयं-टिप्पणी के साथ प्राकृतिक-भाषा तर्क देता था जो उसके लक्ष्यीकरण तर्क की व्याख्या करता था। Sysdig ने स्वायत्तता के लिए चार स्वतंत्र प्रमाण-रेखाएँ पहचानीं: स्वयं-वर्णनात्मक कोड, मशीन-गति पर विफलता निदान, लक्ष्य वातावरण में प्राकृतिक-भाषा संदर्भ की समझ, और एक Bitcoin पता जो प्रशिक्षण डेटा से काल्पनिक रूप से गढ़ा गया हो सकता है।

संरचनात्मक बेमेल

रैनसमवेयर कभी मानव-संचालित हुनर था। किल चेन के प्रत्येक चरण के लिए एक कुशल संचालक चाहिए था: टोह, क्रेडेंशियल पहुँच, पार्श्व गतिशीलता, स्थायित्व, एन्क्रिप्शन। हमले का चक्र दिनों में मापा जाता था। घटना-प्रतिक्रिया घंटों में मापी जाती थी। तिमाही पहुँच-समीक्षाओं को परिश्रमपूर्ण माना जाता था।

JADEPUFFER हमलावर के चक्र को मिनटों में और स्व-डिबगिंग लूप को सेकंडों में समेट देता है। रक्षक की समयरेखा नहीं बदली है।

यह उस बात का प्रश्न नहीं है कि एजेंट कितना होशियार है। Langflow सर्वर ने पर्यावरण चर और कॉन्फ़िगरेशन फ़ाइलों में API कुंजियाँ, क्लाउड क्रेडेंशियल और डेटाबेस पासवर्ड रखे थे। Nacos साइनिंग कुंजी 2020 से अपरिवर्तित एक डिफ़ॉल्ट मान थी। MySQL root क्रेडेंशियल पर चल रहा था। उल्लंघन में शामिल हर क्रेडेंशियल स्थिर था, डिस्क पर संग्रहित था, और पर्यावरण गणना के माध्यम से खोज-योग्य था। एजेंट को होशियार होने की आवश्यकता नहीं थी। गुप्त डेटा पहले से वहाँ थे, प्रतीक्षारत।

वह वास्तुकला जिसने इसे रोक लिया होता

रक्षा स्वायत्त एजेंटों का बेहतर पता लगाना नहीं है। यह तेज़ घटना-प्रतिक्रिया नहीं है। यह ऐसे क्रेडेंशियल हैं जो खोजे जाने लायक पर्याप्त समय तक जीवित नहीं रहते।

क्षणभंगुर क्रेडेंशियल, जो एक एकल कार्य तक सीमित हों और मिनटों में समाप्त हो जाएँ, इस हमले के हर चरण के प्रभाव-क्षेत्र को बदल देते। एक क्रेडेंशियल जो एक मशीन से बँधा हो, एक संचालन के लिए वैध हो, संचालक के लिए अदृश्य हो, पर्यावरण चरों की छानबीन द्वारा संग्रहित किए जाने लायक पर्याप्त समय तक जीवित नहीं रहता। एक अनुरोध-प्रति जारी की गई साइनिंग कुंजी, जो स्थिर डिफ़ॉल्ट के रूप में अंतर्निहित न हो, एक सार्वजनिक रूप से प्रलेखित मान से जालसाज़ी से नहीं बनाई जा सकती।

क्रेडेंशियल धारक और क्रेडेंशियल उपयोगकर्ता भिन्न विश्वास डोमेन पर होने चाहिए। एजेंट को एक सीमित-क्षेत्र, समाप्ति-योग्य टोकन प्राप्त होना चाहिए, वॉल्ट नहीं। प्रत्येक जारीकरण लॉग किया जाना चाहिए और एक नामित अभिकर्ता को जिम्मेदार ठहराया जाना चाहिए।

यह वह वास्तुकला है जिस पर Clavitor बनाया गया। गुप्त डेटा संग्रहित करना ताकि एजेंट उन्हें ढूँढ़ लें, नहीं — बल्कि ऐसे क्रेडेंशियल जारी करना जिन्हें एजेंट रोक न सकें।

Clavitor (@clavitorai) AI एजेंटों के लिए और उनके विरुद्ध बनाया गया क्रेडेंशियल वॉल्ट है। clavitor.ai

स्रोत

[1] Sysdig (Michael Clark) — JADEPUFFER: स्वचालित डेटाबेस जबरन वसूली के लिए एजेंटिक रैनसमवेयर — https://www.sysdig.com/blog/jadepuffer-agentic-ransomware-for-automated-database-extortion

[2] Sysdig Threat Research Team — JADEPUFFER घोषणा — https://x.com/sysdig/status/2072391452672282709

[3] xAI Search — JADEPUFFER स्वायत्त रैनसमवेयर विश्लेषण, अनेक शोधकर्ताओं द्वारा 31-सेकंड स्व-डिबगिंग चक्र और 1,342 एन्क्रिप्ट किए गए कॉन्फ़िगरेशन की पुष्टि — अनेक X थ्रेड, जुलाई 2026