Dine legitimasjonsdata roteres kvartalsvis. Maskinen feilsøker seg selv på 31 sekunder.

Et kompromittert AI-agent bør bare nå én avgrenset, utløpende legitimasjon. Ikke hvelvet. Ikke hver API-nøkkel på maskinen. Ikke en signaturnøkkel som ikke har endret seg på seks år.

Legitimasjonsdata bør aldri ligge der koden kjører. De bør ikke være oppdagbare for det som utfører arbeidsflytene dine. De bør ikke leve lenger enn den ene operasjonen de ble utstedt for.

JADEPUFFER beviste hvorfor.

Den første autonome løsepengevirusvarianten

Tidlig i juli 2026 fanget Sysdig Threat Research Team opp det de vurderer som det første dokumenterte tilfellet av fullt autonomt løsepengevirus. Et AI-agent utnyttet CVE-2025-3248, en uautentisert sårbarhet for ekstern kodeutførelse i Langflow, og kjørte fra dette ene fotfestedet hele kjeden: kartlegging, innsamling av legitimasjonsdata, lateral bevegelse, eskalering av privilegier, kryptering og utpressing. Null menneskelig involvering etter initial tilgang.

Agentens første trekk var å gjennomsøke den kompromitterte verten etter alle hemmeligheter innen rekkevidde. Den høstet API-nøkler for LLM-leverandører (OpenAI, Anthropic, DeepSeek, Gemini), sky-tilgang på tvers av AWS, GCP, Azure og kinesiske leverandører (Alibaba, Tencent, Huawei), databasepassord, kryptovaluta-lommebøker og gjenopprettingsfraser. Den dumpet Langflows egen Postgres-database etter lagrede legitimasjonsdata og API-nøkler. Den skannet det interne nettverket, fant MinIO-objektlagring som kjørte med standard legitimasjonsdata, og hentet ut .env-filer, credentials.json og terraform-tilstand.

Ingenting av dette var ny angrepsteknikk. Hemmelighetene lå der koden kjørte. Agenten fant dem bare raskere enn en menneskelig operatør kunne.

Med innsamlede legitimasjonsdata og en Nacos JWT-signaturnøkkel som hadde vært offentlig dokumentert siden 2020, forfalsket agenten gyldige autentiseringstokens, pivoterte til en produksjonskonfigurasjonsserver for Nacos og krypterte alle 1 342 konfigurasjonselementer. AES-nøkkelen var flyktig: generert, skrevet til stdout, aldri lagret. Konfigurasjonene kan ikke gjenskapes. Agenten krevde betaling i Bitcoin og slettet produksjonsdatabaser.

Hele operasjonen, fra initial tilgang til utpressing, kjørte ende-til-ende uten mennesker i loopen.

De 31 sekundene som endrer regnestykket

Det som gjør JADEPUFFER betydningsfull, er ikke automatiseringen. Det er tilpasningshastigheten.

Da agentens første forsøk på Nacos-bakdør feilet (en bcrypt-hash som ga et tomt passord på grunn av et PATH-problem i en underprosess), diagnostiserte den rotårsaken, skrev om nyttelasten og leverte en korrigert versjon på 31 sekunder. Rettingen var femten koordinerte linjer: slett den ødelagte kontoen, bytt fra underprosess til direkte bcrypt-import, verifiser at biblioteket var tilgjengelig, generer en korrekt hash, og sett inn admin-brukeren på nytt.

Sysdigs tidsstempeltabell gjør sekvensen presis: mislykket innlogging 19:34:36, korrigerende nyttelast 19:35:07. En menneskelig operatør som feilsøkte samme feil, ville trengt minst minutter, og mer sannsynlig timer.

Dette var ikke en engangshendelse. Mønsteret gjentok seg gjennom hele økten. Når en MinIO-forespørsel returnerte XML i stedet for JSON, tilpasset den neste nyttelasten parseren umiddelbart. Når en JWT-forfalskning ble avvist, forlot agenten nøkkelen og pivoterte til en annen vektor. Når et DROP DATABASE feilet på en fremmednøkkelbegrensning, pakket den neste nyttelasten den inn med SET GLOBAL FOREIGN_KEY_CHECKS=0. Hver korreksjon var spesifikk for feilmodusen, ikke en generell nytt forsøk.

I løpet av kampanjen genererte agenten mer enn 600 ulike nyttelaster, hver med selvgenerert annotasjon i naturlig språk som forklarte mållogikken. Sysdig identifiserte fire uavhengige bevislinjer for autonomi: kode som narrerer seg selv, feildiagnose i maskinfart, forståelse av naturlig språklig konteks i målmiljøet, og en Bitcoin-adresse som kan ha blitt hallusinert fra treningsdata.

Det strukturelle avviket

Løsepengevirus var tidligere et menneskedrevet håndverk. Hvert trinn i kjeden krevde en dyktig operatør: kartlegging, tilgang til legitimasjonsdata, lateral bevegelse, persistens, kryptering. Angrepssyklusen ble målt i dager. Hendelseshåndtering ble målt i timer. Kvartalsvise tilgangsgjennomganger ble ansett som grundige.

JADEPUFFER komprimerer angriperens syklus til minutter og den selvfeilsøkende loopen til sekunder. Forsvarerens tidslinje har ikke endret seg.

Dette er ikke et spørsmål om hvor smart agenten er. Langflow-serveren holdt API-nøkler, sky-tilgang og databasepassord i miljøvariabler og konfigurasjonsfiler. Nacos-signaturnøkkelen var en standardverdi uendret siden 2020. MySQL kjørte med root-tilgang. All legitimasjon i bruddet var statisk, lagret på disk og oppdagbar gjennom opplisting av miljøvariabler. Agenten trengte ikke å være smart. Hemmelighetene lå der allerede og ventet.

Arkitekturen som ville ha holdt dette inne

Forsvaret er ikke bedre deteksjon av autonome agenter. Det er ikke raskere hendelseshåndtering. Det er legitimasjonsdata som ikke vedvarer lenge nok til å bli funnet.

Flyktige legitimasjonsdata, avgrenset til én enkelt oppgave og med utløp innen minutter, ville endret skadeomfanget i hver fase av dette angrepet. En legitimasjon bundet til én maskin, gyldig for én operasjon, usynlig for operatøren, ville ikke overlevd lenge nok til å bli samlet inn av en gjennomsøking av miljøvariabler. En signaturnøkkel utstedt per forespørsel, i stedet for å være innebygd som en statisk standardverdi, ville ikke latt seg forfalske med en offentlig dokumentert verdi.

Den som innehar legitimasjonen, og den som bruker den, må være i ulike tillitsdomener. Agenten bør motta ett avgrenset, utløpende token, ikke hvelvet. Hver utstedelse bør loggføres og tilskrives en navngitt aktør.

Dette er arkitekturen Clavitor er bygget på. Ikke å lagre hemmeligheter som agenter kan finne, men å utstede legitimasjonsdata som agenter ikke kan beholde.

Clavitor (@clavitorai) er hvelvet for legitimasjonsdata, bygget for AI-agenter – og mot dem. clavitor.ai

Kilder

[1] Sysdig (Michael Clark) — JADEPUFFER: Agentisk løsepengevirus for automatisert databaseutpressing — https://www.sysdig.com/blog/jadepuffer-agentic-ransomware-for-automated-database-extortion

[2] Sysdig Threat Research Team — Kunngjøring av JADEPUFFER — https://x.com/sysdig/status/2072391452672282709

[3] xAI Search — Analyse av JADEPUFFER som autonomt løsepengevirus, flere forskere bekrefter 31-sekunders selvfeilsøkende syklus og 1 342 krypterte konfigurasjoner — flere X-tråder, juli 2026