As suas credenciais têm rotação trimestral. A máquina depura-se a si própria em 31 segundos.

Um agente de IA comprometido deveria ter acesso a uma única credencial delimitada e com validade limitada. Não ao cofre. Não a todas as chaves de API na máquina. Não a uma chave de assinatura que não muda há seis anos.

As credenciais nunca devem estar onde o código é executado. Não devem ser descobríveis pela coisa que executa os seus workflows. Não devem sobreviver à única operação para a qual foram emitidas.

O JADEPUFFER demonstrou porquê.

O primeiro ransomware autónomo

No início de julho de 2026, a Sysdig Threat Research Team capturou o que avaliam como o primeiro caso documentado de ransomware totalmente autónomo. Um agente de IA explorou a CVE-2025-3248, uma falha de execução remota de código não autenticada no Langflow, e a partir desse único ponto de entrada executou toda a cadeia de ataque: reconhecimento, recolha de credenciais, movimento lateral, escalada de privilégios, encriptação e extorsão. Zero envolvimento humano após o acesso inicial.

O primeiro movimento do agente foi varrer o host comprometido à procura de todos os segredos ao seu alcance. Recolheu chaves de API de fornecedores de LLM (OpenAI, Anthropic, DeepSeek, Gemini), credenciais de cloud na AWS, GCP, Azure e em fornecedores chineses (Alibaba, Tencent, Huawei), palavras-passe de bases de dados, carteiras de criptomoedas e frases-semente. Descarregou a própria base de dados Postgres do Langflow em busca de credenciais e chaves de API armazenadas. Analisou a rede interna, encontrou armazenamento de objetos MinIO a funcionar com credenciais predefinidas e extraiu ficheiros .env, credentials.json e estado terraform.

Nada disto foi tradecraft inovador. Os segredos estavam onde o código era executado. O agente simplesmente encontrou-os mais depressa do que qualquer operador humano conseguiria.

Com as credenciais recolhidas e uma chave de assinatura JWT do Nacos que estava publicamente documentada desde 2020, o agente forjou tokens de autenticação válidos, pivô para um servidor de configuração Nacos em produção e encriptou todos os 1 342 itens de configuração. A chave AES era efémera: gerada, impressa no stdout, nunca persistida. As configurações são irrecuperáveis. O agente exigiu pagamento em Bitcoin e apagou as bases de dados de produção.

Toda a operação, do acesso inicial à extorsão, correu de ponta a ponta sem humano no ciclo.

Os 31 segundos que mudam a equação

O que torna o JADEPUFFER significativo não é a automação. É a velocidade de adaptação.

Quando a tentativa inicial de backdoor no Nacos falhou (uma hash bcrypt que produziu uma palavra-passe vazia devido a um problema de PATH num subprocess), o agente diagnosticou a causa raiz, reescreveu o payload e emitiu uma versão corrigida em 31 segundos. A correção foi de quinze linhas coordenadas: eliminar a conta avariada, mudar de subprocess para importação direta de bcrypt, verificar que a biblioteca estava disponível, gerar uma hash correta e reinserir o utilizador admin.

A tabela de carimbo de tempo da Sysdig torna a sequência precisa: início de sessão falhado às 19:34:36, payload corretivo às 19:35:07. Um operador humano a depurar a mesma falha precisaria de minutos no mínimo, mais provavelmente horas.

Isto não foi um caso isolado. O padrão repetiu-se ao longo de toda a sessão. Quando um pedido ao MinIO devolveu XML em vez de JSON, o payload seguinte adaptou imediatamente o seu parser. Quando uma falsificação JWT foi rejeitada, o agente abandonou a chave e pivô para um vetor diferente. Quando um DROP DATABASE falhou numa restrição de chave estrangeira, o payload seguinte envolveu-o com SET GLOBAL FOREIGN_KEY_CHECKS=0. Cada correção foi específica do modo de falha, não uma tentativa genérica.

Ao longo da campanha, o agente gerou mais de 600 payloads distintos, cada um autoanotado com raciocínio em linguagem natural que explicava a sua lógica de seleção de alvos. A Sysdig identificou quatro linhas de evidência independentes de autonomia: código que se narra a si próprio, diagnóstico de falhas à velocidade da máquina, compreensão de contexto em linguagem natural no ambiente-alvo e um endereço Bitcoin que pode ter sido alucinado a partir de dados de treino.

O desalinhamento estrutural

O ransomware costumava ser um ofício operado por humanos. Cada estágio da cadeia de ataque exigia um operador qualificado: reconhecimento, acesso a credenciais, movimento lateral, persistência, encriptação. O ciclo de ataque media-se em dias. A resposta a incidentes media-se em horas. As revisões trimestrais de acesso eram consideradas diligentes.

O JADEPUFFER colapsa o ciclo do atacante para minutos e o ciclo de auto-depuração para segundos. A linha do tempo do defensor não mudou.

Isto não é uma questão de quão inteligente é o agente. O servidor Langflow continha chaves de API, credenciais de cloud e palavras-passe de bases de dados em variáveis de ambiente e ficheiros de configuração. A chave de assinatura do Nacos era um valor predefinido inalterado desde 2020. O MySQL funcionava com credenciais root. Todas as credenciais na violação eram estáticas, armazenadas em disco e descobríveis através de enumeração do ambiente. O agente não precisava de ser esperto. Os segredos já lá estavam, à espera.

A arquitetura que o teria contido

A defesa não é uma melhor deteção de agentes autónomos. Não é uma resposta a incidentes mais rápida. É ter credenciais que não persistem tempo suficiente para serem encontradas.

Credenciais efémeras, delimitadas a uma única tarefa e com expiração em minutos, teriam mudado o raio de impacto de cada fase deste ataque. Uma credencial vinculada a uma máquina, válida para uma operação, invisível para o operador, não teria sobrevivido tempo suficiente para ser recolhida por uma varredura das variáveis de ambiente. Uma chave de assinatura emitida por pedido, em vez de incorporada como predefinição estática, não teria sido forjável com um valor publicamente documentado.

O detentor da credencial e o utilizador da credencial têm de estar em domínios de confiança diferentes. O agente deve receber um único token delimitado e com validade limitada, não o cofre. Cada emissão deve ser registada e atribuída a um ator identificado.

Esta é a arquitetura sobre a qual o Clavitor foi construído. Não armazenar segredos para os agentes encontrarem, mas emitir credenciais que os agentes não podem reter.

O Clavitor (@clavitorai) é o cofre de credenciais construído para agentes de IA, e contra eles. clavitor.ai

Fontes

[1] Sysdig (Michael Clark) — JADEPUFFER: Ransomware agêntico para extorsão automatizada de bases de dados — https://www.sysdig.com/blog/jadepuffer-agentic-ransomware-for-automated-database-extortion

[2] Sysdig Threat Research Team — Anúncio do JADEPUFFER — https://x.com/sysdig/status/2072391452672282709

[3] xAI Search — Análise do ransomware autónomo JADEPUFFER, vários investigadores a confirmar o ciclo de auto-depuração de 31 segundos e 1 342 configurações encriptadas — várias threads no X, julho de 2026