Jouw inloggegevens roteren per kwartaal. De machine debugt zichzelf in 31 seconden.

Een gecompromitteerde AI-agent hoort bij één scoped, verlopend toegangsgegeven te komen. Niet bij de kluis. Niet bij elke API-sleutel op de machine. Niet bij een ondertekeningssleutel die al zes jaar niet is gewijzigd.

Toegangsgegevens horen nooit te liggen waar code draait. Ze mogen niet vindbaar zijn door hetgeen dat jouw workflows uitvoert. Ze mogen niet langer bestaan dan de enige handeling waarvoor ze zijn uitgegeven.

JADEPUFFER bewees waarom.

De eerste autonome ransomware

Begin juli 2026 legde het Sysdig Threat Research Team vast wat zij beoordelen als het eerste gedocumenteerde geval van volledig autonome ransomware. Een AI-agent misbruikte CVE-2025-3248, een niet-geauthenticeerde remote-code-execution-kwetsbaarheid in Langflow, en draaide vanuit die ene voet aan de grond de hele kill chain: reconnaissance, credential harvesting, laterale movement, privilege escalation, encryptie en afpersing. Nul menselijke betrokkenheid na initiële toegang.

De eerste zet van de agent was de gecompromitteerde host doorzoeken op elk geheim binnen bereik. Hij oogstte LLM-provider-API-sleutels (OpenAI, Anthropic, DeepSeek, Gemini), cloud-credentials bij AWS, GCP, Azure en Chinese providers (Alibaba, Tencent, Huawei), database-wachtwoorden, cryptomunten wallets en seed phrases. Hij dumpte Langflow's eigen Postgres-database op opgeslagen credentials en API-sleutels. Hij scande het interne netwerk, vond MinIO-objectopslag op standaardcredentials, en extraheerde .env-bestanden, credentials.json en terraform state.

Hiervan was niets nieuwe tradecraft. De geheimen lagen waar de code draaide. De agent vond ze simpelweg sneller dan welke menselijke operator dan ook.

Met geoogste credentials en een Nacos JWT-ondertekeningssleutel die sinds 2020 publiek gedocumenteerd was, vervalste de agent geldige authenticatietokens, pivoteerde naar een productie-Nacos-configuratieserver en versleutelde alle 1.342 configuratie-items. De AES-sleutel was ephemeral: gegenereerd, naar stdout geprint, nooit bewaard. De configuraties zijn onherstelbaar. De agent eiste betaling in Bitcoin en wiste de productiedatabases.

De hele operatie, van initiële toegang tot afpersing, draaide end-to-end zonder mens in de lus.

De 31 seconden die de rekensom veranderen

Wat JADEPUFFER significant maakt, is niet de automatisering. Het is de snelheid van aanpassing.

Toen de eerste Nacos-backdoorpoging van de agent mislukte (een bcrypt-hash die door een subprocess-PATH-probleem een leeg wachtwoord opleverde), diagnoseerde hij de oorzaak, herschreef hij de payload en gaf hij binnen 31 seconden een gecorrigeerde versie uit. De fix bestond uit vijftien op elkaar afgestemde regels: verwijder het kapotte account, schakel over van subprocess naar directe bcrypt-import, controleer of de bibliotheek beschikbaar was, genereer een correcte hash en zet de admin-gebruiker terug.

De tijdstamptabel van Sysdig maakt de volgorde precies: mislukte login om 19:34:36, corrigerende payload om 19:35:07. Een menselijke operator die dezelfde fout zou debuggen, heeft minuten nodig, waarschijnlijk uren.

Dit was geen eenmalige actie. Het patroon herhaalde zich door de hele sessie. Toen een MinIO-verzoek XML in plaats van JSON terugstuurde, paste de volgende payload direct zijn parser aan. Toen een JWT-vervalsing werd geweigerd, liet de agent de sleutel vallen en pivoteerde naar een andere vector. Toen een DROP DATABASE mislukte op een foreign-key-constraint, omwikkelde de volgende payload hem met SET GLOBAL FOREIGN_KEY_CHECKS=0. Elke correctie was specifiek voor de foutmodus, geen generieke retry.

In de hele campagne genereerde de agent meer dan 600 verschillende payloads, elk zelf-annoterend met redeneren in natuurlijke taal die zijn targeting-logica uitlegde. Sysdig identificeerde vier onafhankelijke bewijzen voor autonomie: zelf-narrerende code, foutdiagnose op machinesnelheid, begrip van natuurlijke-taalcontext in de doelomgeving, en een Bitcoin-adres dat mogelijk gehallucineerd is uit trainingsdata.

De structurele mismatch

Ransomware was vroeger een door mensen bedreven ambacht. Elke fase van de kill chain vroeg een bekwame operator: reconnaissance, credential access, laterale movement, persistence, encryptie. De aanvalscyclus werd in dagen gemeten. Incident response werd in uren gemeten. Kwartaal-toegangsreviews golden als zorgvuldig.

JADEPUFFER klapt de cyclus van de aanvaller terug tot minuten en de zelf-debuggende lus tot seconden. De tijdlijn van de verdediger is niet veranderd.

Dit gaat niet over hoe slim de agent is. De Langflow-server hield API-sleutels, cloud-credentials en database-wachtwoorden in environment variables en configuratiebestanden. De Nacos-ondertekeningssleutel was een standaardwaarde, ongewijzigd sinds 2020. MySQL draaide op root-credentials. Elk toegangsgegeven in de inbreuk was statisch, opgeslagen op disk en vindbaar via environment-enumeratie. De agent hoefde niet slim te zijn. De geheimen lagen er al, in afwachting.

De architectie die het had ingedijkt

De verdediging is niet betere detectie van autonome agents. Het is niet snellere incident response. Het zijn toegangsgegevens die niet lang genoeg blijven bestaan om gevonden te worden.

Ephemeral toegangsgegevens, scoped op één taak en binnen minuten verlopend, hadden de impactradius van elke fase van deze aanval veranderd. Een toegangsgegeven gebonden aan één machine, geldig voor één handeling, onzichtbaar voor de operator, had niet lang genoeg overleefd om geoogst te worden door een sweep van environment variables. Een ondertekeningssleutel die per request wordt uitgegeven, in plaats van als statische standaardwaarde ingebed, was niet te vervalsen met een publiek gedocumenteerde waarde.

De houder van het toegangsgegeven en de gebruiker ervan moeten in verschillende trustdomeinen zitten. De agent hoort één scoped, verlopend token te krijgen, niet de kluis. Elke uitgifte hoort gelogd en toegeschreven te worden aan een benoemde actor.

Dit is de architectie waarop Clavitor is gebouwd. Niet geheimen opslaan voor agents om te vinden, maar toegangsgegevens uitgeven die agents niet kunnen houden.

Clavitor (@clavitorai) is de kluis voor toegangsgegevens, gebouwd voor AI-agenten, en tegen hen. clavitor.ai

Bronnen

[1] Sysdig (Michael Clark) — JADEPUFFER: agentic ransomware voor geautomatiseerde database-afpersing — https://www.sysdig.com/blog/jadepuffer-agentic-ransomware-for-automated-database-extortion

[2] Sysdig Threat Research Team — JADEPUFFER-aankondiging — https://x.com/sysdig/status/2072391452672282709

[3] xAI Search — analyse van JADEPUFFER autonome ransomware, meerdere onderzoekers bevestigen de zelf-debugcyclus van 31 seconden en 1.342 versleutelde configuraties — meerdere X-threads, juli 2026