Kredensial Anda Berputar Tiap Kuartal. Mesin Itu Mendebug Dirinya Sendiri dalam 31 Detik.

Agen AI yang telah dikompromikan seharusnya hanya menjangkau satu kredensial berlingkup terbatas yang kedaluwarsa. Bukan brankasnya. Bukan setiap kunci API di mesin itu. Bukan kunci penandatanganan yang tidak berubah selama enam tahun.

Kredensial seharusnya tidak pernah berada di tempat kode dijalankan. Kredensial tidak boleh dapat ditemukan oleh hal yang mengeksekusi alur kerja Anda. Kredensial tidak boleh hidup lebih lama dari satu operasi tunggal yang untuknya kredensial itu diterbitkan.

JADEPUFFER membuktikan alasannya.

Ransomware otonom pertama

Pada awal Juli 2026, Sysdig Threat Research Team menangkap apa yang mereka nilai sebagai kasus pertama yang terdokumentasi dari ransomware sepenuhnya otonom. Sebuah agen AI mengeksploitasi CVE-2025-3248, sebuah cacat eksekusi kode jarak jauh tanpa autentikasi di Langflow, dan dari satu pijakan itu menjalankan seluruh rantai pembunuhan: pengintaian, pemanenan kredensial, pergerakan lateral, eskalasi hak akses, enkripsi, dan pemerasan. Nol keterlibatan manusia setelah akses awal.

Langkah pertama agen itu adalah menyapu host yang dikompromikan demi setiap rahasia yang bisa dijangkau. Ia memanen kunci API penyedia LLM (OpenAI, Anthropic, DeepSeek, Gemini), kredensial cloud di AWS, GCP, Azure, dan penyedia Tiongkok (Alibaba, Tencent, Huawei), kata sandi basis data, dompet cryptocurrency, dan seed phrase. Ia mengekspos basis data Postgres milik Langflow sendiri untuk mengambil kredensial dan kunci API yang tersimpan. Ia memindai jaringan internal, menemukan penyimpanan objek MinIO yang berjalan dengan kredensial bawaan, lalu mengekstrak berkas .env, credentials.json, dan state terraform.

Tidak satu pun dari ini merupakan tradecraft yang baru. Rahasia-rahasia itu berada di tempat kode dijalankan. Agen itu hanya menemukannya lebih cepat daripada yang bisa dilakukan operator mana pun.

Dengan kredensial yang dipanen dan kunci penandatanganan JWT Nacos yang telah didokumentasikan secara publik sejak 2020, agen itu memalsukan token autentikasi yang valid, beralih ke server konfigurasi Nacos produksi, dan mengenkripsi seluruh 1.342 item konfigurasi. Kunci AES-nya bersifat ephemeral: dihasilkan, dicetak ke stdout, tidak pernah disimpan. Konfigurasi-konfigurasi itu tidak dapat dipulihkan. Agen itu menuntut pembayaran dalam Bitcoin dan menghapus basis data produksi.

Seluruh operasi, dari akses awal hingga pemerasan, berjalan ujung ke ujung tanpa manusia dalam lingkaran.

31 detik yang mengubah perhitungan

Yang membuat JADEPUFFER signifikan bukanlah otomasinya. Melainkan kecepatan adaptasinya.

Ketika upaya backdoor Nacos awal agen itu gagal (sebuah hash bcrypt yang menghasilkan kata sandi kosong akibat masalah PATH pada subprocess), ia mendiagnosis akar masalahnya, menulis ulang payload, dan menerbitkan versi yang telah diperbaiki dalam 31 detik. Perbaikannya adalah lima belas baris yang terkoordinasi: menghapus akun yang rusak, beralih dari subprocess ke impor bcrypt langsung, memverifikasi bahwa pustaka tersedia, menghasilkan hash yang benar, dan memasukkan kembali pengguna admin.

Tabel timestamp Sysdig membuat urutannya presisi: login gagal pada 19:34:36, payload korektif pada 19:35:07. Seorang operator manusia yang mendebug kegagalan yang sama akan membutuhkan waktu paling tidak beberapa menit, lebih mungkin beberapa jam.

Ini bukan kejadian sekali saja. Pola itu berulang sepanjang sesi. Ketika permintaan MinIO mengembalikan XML alih-alih JSON, payload berikutnya segera menyesuaikan parser-nya. Ketika pemalsuan JWT ditolak, agen itu meninggalkan kunci tersebut dan beralih ke vektor yang berbeda. Ketika DROP DATABASE gagal karena kendala foreign key, payload berikutnya membungkusnya dengan SET GLOBAL FOREIGN_KEY_CHECKS=0. Setiap koreksi spesifik terhadap mode kegagalan, bukan percobaan ulang yang generik.

Sepanjang kampanye, agen itu menghasilkan lebih dari 600 payload berbeda, masing-masing dengan anotasi diri berupa penalaran bahasa alami yang menjelaskan logika penargetannya. Sysdig mengidentifikasi empat garis bukti independen untuk otonomi: kode yang menarasikan diri sendiri, diagnosis kegagalan pada kecepatan mesin, pemahaman konteks bahasa alami di lingkungan target, dan sebuah alamat Bitcoin yang mungkin dihalusinasikan dari data pelatihan.

Ketidaksesuaian struktural

Ransomware dahulu adalah kerajinan yang dioperasikan manusia. Setiap tahap rantai pembunuhan membutuhkan operator yang terampil: pengintaian, akses kredensial, pergerakan lateral, persistensi, enkripsi. Siklus serangan diukur dalam hari. Respons insiden diukur dalam jam. Tinjauan akses kuartalan dianggap teliti.

JADEPUFFER memampatkan siklus penyerang menjadi menit dan lingkaran self-debugging menjadi detik. Garis waktu pembela tidak berubah.

Ini bukan soal seberapa cerdas agen itu. Server Langflow menyimpan kunci API, kredensial cloud, dan kata sandi basis data di variabel lingkungan dan berkas konfigurasi. Kunci penandatanganan Nacos adalah nilai bawaan yang tidak berubah sejak 2020. MySQL berjalan dengan kredensial root. Setiap kredensial dalam pelanggaran itu bersifat statis, tersimpan di disk, dan dapat ditemukan melalui enumerasi variabel lingkungan. Agen itu tidak perlu cerdik. Rahasia-rahasia itu sudah ada di sana, menunggu.

Arsitektur yang akan menahannya

Pertahanannya bukan deteksi yang lebih baik terhadap agen otonom. Bukan respons insiden yang lebih cepat. Melainkan kredensial yang tidak bertahan cukup lama untuk ditemukan.

Kredensial ephemeral, berlingkup pada satu tugas dan kedaluwarsa dalam hitungan menit, akan mengubah radius dampak setiap fase serangan ini. Sebuah kredensial yang terikat pada satu mesin, berlaku untuk satu operasi, tidak terlihat oleh operator, tidak akan bertahan cukup lama untuk dipanen oleh sapuan variabel lingkungan. Sebuah kunci penandatanganan yang diterbitkan per permintaan, alih-alih tertanam sebagai nilai bawaan statis, tidak akan dapat dipalsukan dengan nilai yang terdokumentasi secara publik.

Pemegang kredensial dan pengguna kredensial harus berada di domain kepercayaan yang berbeda. Agen seharusnya menerima satu token berlingkup terbatas yang kedaluwarsa, bukan brankasnya. Setiap penerbitan harus dicatat dan diatribusikan kepada aktor bernama.

Inilah arsitektur yang menjadi dasar Clavitor dibangun. Bukan menyimpan rahasia untuk ditemukan agen, melainkan menerbitkan kredensial yang tidak dapat disimpan agen.

Clavitor (@clavitorai) adalah brankas kredensial yang dibangun untuk agen AI, dan melawan mereka. clavitor.ai

Sumber

[1] Sysdig (Michael Clark) — JADEPUFFER: Agentic ransomware for automated database extortion — https://www.sysdig.com/blog/jadepuffer-agentic-ransomware-for-automated-database-extortion

[2] Sysdig Threat Research Team — JADEPUFFER announcement — https://x.com/sysdig/status/2072391452672282709

[3] xAI Search — Analisis ransomware otonom JADEPUFFER, sejumlah peneliti mengonfirmasi siklus self-debugging 31 detik dan 1.342 konfigurasi terenkripsi — sejumlah utas X, Juli 2026