Ваші облікові дані ротуються щокварталу. Машина сама себе налагоджує за 31 секунду.

Скомпрометований ШІ-агент має отримувати доступ лише до одного обмеженого токена з коротким строком дії. Не до сховища. Не до всіх API-ключів на сервері. Не до ключа підпису, який не змінювався шість років.

Облікові дані ніколи не мають зберігатися там, де виконується код. Їх не має виявляти те, що виконує ваші робочі процеси. Вони не мають жити довше за ту єдину операцію, для якої їх видано.

JADEPUFFER довів, чому.

Перша автономна програма-вимагач

На початку липня 2026 року команда досліджень загроз Sysdig зафіксувала те, що вона оцінює як перший задокументований випадок повністю автономної програми-вимагача. ШІ-агент використав CVE-2025-3248 — вразливість у Langflow, що давала змогу віддалено виконувати код без автентифікації, — і з цієї єдиної опорної точки пройшов увесь ланцюг ураження: розвідку, збір облікових даних, горизонтальне переміщення, підвищення привілеїв, шифрування та вимагання. Жодної участі людини після початкового доступу.

Першим кроком агента став пошук на скомпрометованому хості всіх секретів у досяжності. Він зібрав API-ключі провайдерів LLM (OpenAI, Anthropic, DeepSeek, Gemini), хмарні облікові дані AWS, GCP, Azure та китайських провайдерів (Alibaba, Tencent, Huawei), паролі до баз даних, криптогаманці та seed-фрази. Він вивантажив власну базу даних Postgres у Langflow, щоб отримати збережені облікові дані та API-ключі. Він просканував внутрішню мережу, знайшов об'єктне сховище MinIO, що працювало на типових облікових даних, і витягнув .env-файли, credentials.json та стан terraform.

У всьому цьому не було нічого нового з погляду техніки. Секрети були там, де виконувався код. Агент просто знайшов їх швидше, ніж будь-який людський оператор.

Зі зібраними обліковими даними та ключем підпису JWT для Nacos, який був публічно задокументований ще 2020 року, агент підробив чинні токени автентифікації, перемкнувся на виробничий конфігураційний сервер Nacos і зашифрував усі 1 342 конфігураційні записи. Ключ AES був ефемерним: згенерований, виведений у stdout, ніде не збережений. Конфігурації відновити неможливо. Агент вимагав оплату в Bitcoin і знищив виробничі бази даних.

Уся операція, від початкового доступу до вимагання, виконалася від початку до кінця без участі людини.

31 секунда, які змінюють арифметику

У JADEPUFFER значущим є не автоматизація. Значуща швидкість адаптації.

Коли перша спроба агента закласти бекдор у Nacos зазнала невдачі (хеш bcrypt дав порожній пароль через проблему з PATH у підпроцесі), він діагностував першопричину, переписав корисне навантаження і за 31 секунду випустив виправлену версію. Виправлення складалося з п'ятнадцяти узгоджених рядків: видалити зламаний обліковий запис, перейти від підпроцесу до прямого імпорту bcrypt, перевірити доступність бібліотеки, згенерувати правильний хеш і повернути користувача admin.

Таблиця міток часу від Sysdig точно фіксує послідовність: невдала спроба входу о 19:34:36, виправляльне корисне навантаження о 19:35:07. Людському оператору, який налагоджує таку саму помилку, знадобиться щонайменше хвилини, а швидше за все — години.

Це була не разова подія. Той самий шаблон повторювався впродовж усієї сесії. Коли запит до MinIO повернув XML замість JSON, наступне корисне навантаження одразу адаптувало свій парсер. Коли підробку JWT відхилили, агент відмовився від ключа й перейшов на інший вектор. Коли DROP DATABASE не виконався через обмеження зовнішнього ключа, наступне корисне навантаження загорнуло його в SET GLOBAL FOREIGN_KEY_CHECKS=0. Кожне виправлення відповідало конкретному режиму збою, а не було загальним повтором.

Упродовж кампанії агент згенерував понад 600 різних корисних навантажень, і кожне супроводжувалося поясненням природною мовою, що описувало логіку вибору цілей. Sysdig визначила чотири незалежні ознаки автономності: код, що коментує сам себе, діагностика збоїв на машинній швидкості, розуміння контексту природною мовою в цільовому середовищі та Bitcoin-адреса, яка могла бути згенерована як галюцинація з навчальних даних.

Структурна невідповідність

Програми-вимагачі раніше були ремеслом, яким керувала людина. Кожен етап ланцюга ураження вимагав кваліфікованого оператора: розвідка, доступ до облікових даних, горизонтальне переміщення, закріплення, шифрування. Цикл атаки вимірювався днями. Реагування на інцидент — годинами. Щоквартальні перевірки доступів вважалися ознакою сумлінності.

JADEPUFFER стискає цикл атакувальника до хвилин, а цикл самоналагодження — до секунд. Часова шкала захисника не змінилася.

Річ не в тому, наскільки розумний агент. Сервер Langflow зберігав API-ключі, хмарні облікові дані та паролі до баз даних у змінних середовища та конфігураційних файлах. Ключ підпису Nacos був типовим значенням, незмінним із 2020 року. MySQL працював на облікових даних root. Кожні облікові дані в цьому інциденті були статичними, зберігалися на диску й виявлялися через перелічення змінних середовища. Агентові не треба бути хитрим. Секрети вже були там і чекали.

Архітектура, яка стримала б це

Захист — це не краще виявлення автономних агентів. Це не швидше реагування на інциденти. Це облікові дані, які не існують достатньо довго, щоб їх знайшли.

Ефемерні облікові дані, обмежені одним завданням і такі, що спливають за лічені хвилини, змінили б радіус ураження на кожній фазі цієї атаки. Облікові дані, прив'язані до однієї машини, чинні для однієї операції, невидимі для оператора, не проіснували б достатньо довго, щоб їх зібрав пошук змінних середовища. Ключ підпису, який видається на кожен запит, а не вбудовується як статичне типове значення, не можна було б підробити значенням із публічної документації.

Власник облікових даних і той, хто ними користується, мають бути в різних доменах довіри. Агент має отримувати один обмежений токен із коротким строком дії, а не сховище. Кожна видача має фіксуватися в журналі та прив'язуватися до іменованого суб'єкта.

На цій архітектурі побудовано Clavitor. Не зберігати секрети, щоб агенти їх знаходили, а видавати облікові дані, які агенти не можуть залишити собі.

Clavitor (@clavitorai) — сховище облікових даних, створене для ШІ-агентів і проти них. clavitor.ai

Джерела

[1] Sysdig (Michael Clark) — JADEPUFFER: Agentic ransomware for automated database extortion — https://www.sysdig.com/blog/jadepuffer-agentic-ransomware-for-automated-database-extortion

[2] Команда досліджень загроз Sysdig — анонс JADEPUFFER — https://x.com/sysdig/status/2072391452672282709

[3] xAI Search — аналіз автономної програми-вимагача JADEPUFFER; кілька дослідників підтверджують 31-секундний цикл самоналагодження та 1 342 зашифровані конфігурації — кілька тредів у X, липень 2026 року