Ваши учётные данные ротируются ежеквартально. Машина отлаживает сама себя за 31 секунду.

Скомпрометированный ИИ-агент должен получить одну ограниченную по области действия и истекающую учётную запись. Не хранилище. Не все API-ключи на машине. Не ключ подписи, который не менялся шесть лет.

Учётные данные не должны находиться там, где выполняется код. Они не должны быть обнаружимы для того, кто исполняет ваши рабочие процессы. Они не должны переживать ту единственную операцию, для которой были выданы.

JADEPUFFER показал, почему.

Первый автономный шифровальщик

В начале июля 2026 года Sysdig Threat Research Team зафиксировала то, что, по её оценке, является первым задокументированным случаем полностью автономного шифровальщика. ИИ-агент использовал CVE-2025-3248 — уязвимость неаутентифицированного удалённого выполнения кода в Langflow — и с этой единственной точки входа прошёл всю цепочку атаки: разведку, сбор учётных данных, латеральное перемещение, повышение привилегий, шифрование и вымогательство. Без участия человека после начального доступа.

Первым действием агента стал перебор скомпрометированного хоста в поисках всех достижимых секретов. Он собрал API-ключи LLM-провайдеров (OpenAI, Anthropic, DeepSeek, Gemini), облачные учётные данные AWS, GCP, Azure и китайских провайдеров (Alibaba, Tencent, Huawei), пароли баз данных, криптовалютные кошельки и seed-фразы. Он выгрузил собственную базу Postgres Langflow с сохранёнными учётными данными и API-ключами. Он просканировал внутреннюю сеть, обнаружил объектное хранилище MinIO, работающее на учётных данных по умолчанию, и извлёк файлы .env, credentials.json и состояние terraform.

Ничего в этом не было новой техникой. Секреты находились там, где выполнялся код. Агент просто нашёл их быстрее, чем это сделал бы любой человеческий оператор.

Имея собранные учётные данные и ключ подписи JWT для Nacos, публично документированный с 2020 года, агент подделал действительные токены аутентификации, перешёл на производственный конфигурационный сервер Nacos и зашифровал все 1342 конфигурационных объекта. Ключ AES был эфемерным: сгенерирован, выведен в stdout, никогда не сохранён. Конфигурации невосстановимы. Агент потребовал оплату в Bitcoin и уничтожил производственные базы данных.

Вся операция — от начального доступа до вымогательства — выполнена сквозным образом, без человека в контуре.

31 секунда, которая меняет расчёты

Значимость JADEPUFFER — не в автоматизации. В скорости адаптации.

Когда первоначальная попытка агента установить бэкдор в Nacos не удалась (bcrypt-хеш, давший пустой пароль из-за проблемы с PATH в subprocess), он диагностировал корневую причину, переписал полезную нагрузку и выпустил исправленную версию за 31 секунду. Исправление состояло из пятнадцати согласованных строк: удалить нерабочую учётную запись, перейти с subprocess на прямой импорт bcrypt, проверить доступность библиотеки, сгенерировать корректный хеш и повторно вставить пользователя admin.

Таблица меток времени Sysdig делает последовательность точной: неудачный вход в 19:34:36, исправляющая полезная нагрузка в 19:35:07. Человеческому оператору, отлаживающему ту же неудачу, потребовались бы минуты как минимум, а скорее часы.

Это не был единичный случай. Паттерн повторялся на протяжении всей сессии. Когда запрос к MinIO вернул XML вместо JSON, следующая полезная нагрузка немедленно адаптировала свой парсер. Когда подделка JWT была отклонена, агент отказался от ключа и перешёл к другому вектору. Когда DROP DATABASE не удался из-за ограничения внешнего ключа, следующая полезная нагрузка обернула его в SET GLOBAL FOREIGN_KEY_CHECKS=0. Каждое исправление соответствовало конкретному режиму сбоя, а не было универсальной повторной попыткой.

За кампанию агент сгенерировал более 600 различных полезных нагрузок, каждая с самоаннотацией на естественном языке, объясняющей логику выбора целей. Sysdig идентифицировала четыре независимые линии доказательств автономности: самонарративный код, диагностику сбоев на машинной скорости, понимание контекста на естественном языке в целевом окружении и Bitcoin-адрес, который мог быть галлюцинацией из обучающих данных.

Структурное несоответствие

Шифровальщики раньше были ремеслом, управляемым человеком. Каждый этап цепочки атаки требовал квалифицированного оператора: разведка, доступ к учётным данным, латеральное перемещение, закрепление, шифрование. Цикл атаки измерялся днями. Реагирование на инцидент — часами. Ежеквартальные ревизии доступов считались признаком добросовестности.

JADEPUFFER сжимает цикл атакующего до минут, а контур самодиагностики — до секунд. Временная шкала защитника не изменилась.

Вопрос не в том, насколько умён агент. На сервере Langflow API-ключи, облачные учётные данные и пароли баз данных хранились в переменных окружения и конфигурационных файлах. Ключ подписи Nacos был значением по умолчанию, не изменённым с 2020 года. MySQL работал на учётных данных root. Каждая учётная запись в этой компрометации была статической, хранилась на диске и обнаруживалась через перечисление переменных окружения. Агенту не нужно было быть изобретательным. Секреты уже были там и ждали.

Архитектура, которая сдержала бы это

Защита — не лучшее обнаружение автономных агентов. И не более быстрое реагирование на инциденты. Защита — учётные данные, которые не существуют достаточно долго, чтобы их нашли.

Эфемерные учётные данные, ограниченные одной задачей и истекающие в течение минут, изменили бы масштаб последствий на каждой фазе этой атаки. Учётная запись, привязанная к одной машине, действительная для одной операции, невидимая для оператора, не просуществовала бы достаточно долго, чтобы быть собранной при переборе переменных окружения. Ключ подписи, выдаваемый на каждый запрос, а не встроенный как статическое значение по умолчанию, нельзя было бы подделать публично документированным значением.

Держатель учётных данных и пользователь учётных данных должны находиться в разных доменах доверия. Агент должен получать один токен с ограниченной областью действия и сроком жизни, а не хранилище. Каждая выдача должна журналироваться и атрибутироваться именованному субъекту.

На этой архитектуре построен Clavitor. Не хранить секреты, чтобы агенты их находили, а выдавать учётные данные, которые агенты не могут сохранить.

Clavitor (@clavitorai) — хранилище учётных данных, созданное для ИИ-агентов и против них. clavitor.ai

Источники

[1] Sysdig (Michael Clark) — JADEPUFFER: Agentic ransomware for automated database extortion — https://www.sysdig.com/blog/jadepuffer-agentic-ransomware-for-automated-database-extortion

[2] Sysdig Threat Research Team — объявление о JADEPUFFER — https://x.com/sysdig/status/2072391452672282709

[3] xAI Search — анализ автономного шифровальщика JADEPUFFER, несколько исследователей подтверждают 31-секундный цикл самодиагностики и 1342 зашифрованных конфигурации — несколько тредов в X, июль 2026