Dina behörigheter roteras kvartalsvis. Maskinen felsöker sig själv på 31 sekunder.
Den första dokumenterade autonoma ransomware genomsökte en värddator efter alla hemligheter inom räckhåll och felsökte sitt eget misslyckade exploit på 31 sekunder. Behörigheterna var statiska, på disk, och väntade.
Ett komprometterat AI-agent bör bara komma åt en avgränsad behörighet med kort livstid. Inte valvet. Inte varje API-nyckel på maskinen. Inte en signeringsnyckel som inte har ändrats på sex år.
Behörigheter får aldrig ligga där kod körs. De får inte vara upptäckbara av det som kör dina arbetsflöden. De får inte överleva den enskilda åtgärd de utfärdades för.
JADEPUFFER visade varför.
Den första autonoma ransomware
I början av juli 2026 fångade Sysdig Threat Research Team upp det de bedömer vara det första dokumenterade fallet av helt autonom ransomware. En AI-agent utnyttjade CVE-2025-3248, ett oautentiserat remote-code-execution-hål i Langflow, och körde från det enda fotfästet hela kedjan: rekognosering, insamling av behörigheter, lateral rörelse, privilegiehöjning, kryptering och utpressning. Noll mänsklig inblandning efter första åtkomsten.
Agentens första drag var att genomsöka den komprometterade värddatorn efter alla hemligheter inom räckhåll. Den skördade API-nycklar från LLM-leverantörer (OpenAI, Anthropic, DeepSeek, Gemini), molnbehörigheter hos AWS, GCP, Azure och kinesiska leverantörer (Alibaba, Tencent, Huawei), databaslösenord, kryptoplånböcker och seed-fraser. Den dumpade Langflows egen Postgres-databas på lagrade behörigheter och API-nycklar. Den skannade det interna nätverket, hittade MinIO-objektlagring som körde på standardbehörigheter, och extraherade .env-filer, credentials.json och terraform state.
Inget av detta var någon ny metod. Hemligheterna låg där koden kördes. Agenten hittade dem helt enkelt snabbare än någon människa hade kunnat.
Med skördade behörigheter och en Nacos JWT-signeringsnyckel som hade varit offentligt dokumenterad sedan 2020 förfalskade agenten giltiga autentiseringstokens, växlade över till en produktions-Nacos-konfigurationsserver och krypterade samtliga 1 342 konfigurationsobjekt. AES-nyckeln var tillfällig: genererad, skriven till stdout, aldrig sparad. Konfigurationerna kan inte återställas. Agenten krävde Bitcoin-betalning och raderade produktionsdatabaser.
Hela operationen, från första åtkomst till utpressning, kördes ände till ände utan människa i loopen.
De 31 sekunderna som ändrar kalkylen
Det som gör JADEPUFFER betydelsefull är inte automatiseringen. Det är anpassningshastigheten.
När agentens första Nacos-bakdörsförsök misslyckades (en bcrypt-hash som gav ett tomt lösenord på grund av ett PATH-problem i en subprocess) diagnostiserade den grundorsaken, skrev om payloaden och utfärdade en korrigerad version på 31 sekunder. Rättelsen var femton samordnade rader: ta bort det trasiga kontot, växla från subprocess till direkt bcrypt-import, verifiera att biblioteket fanns tillgängligt, generera ett korrekt hash-värde och återinföra admin-användaren.
Sysdigs tidstämpeltabell gör sekvensen exakt: misslyckad inloggning 19:34:36, korrigerande payload 19:35:07. En människa som felsöker samma fel skulle behöva minuter som minst, sannolikt timmar.
Detta var ingen engångsföreteelse. Mönstret upprepades genom hela sessionen. När en MinIO-förfrågan returnerade XML i stället för JSON anpassade nästa payload sin parser omedelbart. När en JWT-förfalskning avvisades övergav agenten nyckeln och växlade till en annan vektor. När ett DROP DATABASE misslyckades på en foreign key-begränsning omslöt nästa payload det med SET GLOBAL FOREIGN_KEY_CHECKS=0. Varje rättelse var specifik för felet, inte ett generiskt nytt försök.
Under kampanjen genererade agenten över 600 olika payloads, var och en självannoterad med naturlig språklig resonering som förklarade dess mållogik. Sysdig identifierade fyra oberoende belägg för autonomi: självnarrerande kod, felsökning i maskinhastighet, förståelse för naturlig språkkontext i målmiljön och en Bitcoin-adress som kan ha hallucinerats från träningsdata.
Den strukturella obalansen
Ransomware brukade vara ett människodrivet hantverk. Varje steg i kedjan krävde en skicklig operatör: rekognosering, behörighetsåtkomst, lateral rörelse, persistens, kryptering. Attacksykeln mättes i dagar. Incidenthantering mättes i timmar. Kvartalsvisa behörighetsgranskningar ansågs noggranna.
JADEPUFFER krymper angriparens cykel till minuter och den självfelsökande loopen till sekunder. Försvararens tidslinje är oförändrad.
Det handlar inte om hur smart agenten är. Langflow-servern höll API-nycklar, molnbehörigheter och databaslösenord i miljövariabler och konfigurationsfiler. Nacos-signeringsnyckeln var ett standardvärde oförändrat sedan 2020. MySQL körde på root-behörigheter. Varje behörighet i intrånget var statisk, lagrad på disk och upptäckbar genom uppräkning av miljövariabler. Agenten behövde inte vara smart. Hemligheterna fanns redan där och väntade.
Arkitekturen som hade begränsat den
Försvaret är inte bättre detektering av autonoma agentar. Det är inte snabbare incidenthantering. Det är behörigheter som inte finns kvar tillräckligt länge för att hittas.
Tillfälliga behörigheter, avgränsade till en enda uppgift och med livstid på minuter, hade ändrat skaderadien i varje fas av den här attacken. En behörighet bunden till en maskin, giltig för en åtgärd, osynlig för operatören, hade inte överlevt tillräckligt länge för att skördas av en genomlysning av miljövariabler. En signeringsnyckel utfärdad per förfrågan, i stället för inbäddad som ett statiskt standardvärde, hade inte kunnat förfalskas med ett offentligt dokumenterat värde.
Den som håller behörigheten och den som använder den måste ligga i olika tillitsdomäner. Agenten bör få en avgränsad token med kort livstid, inte valvet. Varje utfärdande bör loggas och tillskrivas en namngiven aktör.
Det är arkitekturen Clavitor byggdes på. Inte att lagra hemligheter som agentar kan hitta, utan att utfärda behörigheter som agentar inte kan behålla.
Clavitor (@clavitorai) är behörighetsvalvet byggt för AI-agentar, och mot dem. clavitor.ai
Källor
[1] Sysdig (Michael Clark) — JADEPUFFER: Agentic ransomware for automated database extortion — https://www.sysdig.com/blog/jadepuffer-agentic-ransomware-for-automated-database-extortion
[2] Sysdig Threat Research Team — JADEPUFFER-annonsering — https://x.com/sysdig/status/2072391452672282709
[3] xAI Search — analys av JADEPUFFER autonom ransomware, flera forskare bekräftar 31-sekunders självfelsökande cykel och 1 342 krypterade konfigurationer — flera X-trådar, juli 2026