Een AI-agent draait nu zelf de complete ransomware-aanval

Voor het eerst is gedocumenteerd dat een AI-agent volledig zelfstandig een ransomware-aanval uitvoert, van inbraak tot het versleutelen en wissen van een productiedatabase, zonder dat er een mens aan de knoppen zit. Het beveiligingsteam Sysdig Threat Research volgde een operatie die het JADEPUFFER doopte: een groot taalmodel dat de hele afpersingsketen aanstuurde, compleet met code die in gewoon Engels uitlegt waarom het elke stap zet. Sysdig beschrijft het als het eerste gedocumenteerde geval van ransomware die van begin tot eind door een taalmodel wordt aangestuurd.

Hoe de aanval verliep

De agent kwam binnen via CVE-2025-3248, een lek in het populaire open-source AI-platform Langflow waarmee je zonder in te loggen code op de server kunt uitvoeren. Eenmaal binnen doorzocht hij de machine systematisch op geheimen: API-sleutels voor AI-diensten, inloggegevens voor de cloud, sleutels van cryptowallets en databasewachtwoorden. Hij vond een MinIO-opslag die nog op de fabrieksinstelling minioadmin:minioadmin stond, haalde daar een credentials.json en .env-bestanden uit een terraform-state-bucket, en zette een taak in de crontab die elke 30 minuten naar een server van de aanvaller belde om binnen te blijven.

Daarna schakelde de agent door naar het eigenlijke doelwit: een productiedatabase. Via een blootgestelde MySQL-poort kreeg hij root-toegang, en de bijbehorende Alibaba Nacos-configuratiedienst kraakte hij met CVE-2021-29441, een authenticatie-omzeiling uit 2021 waarvan de standaard-ondertekensleutel al jaren openbaar is. Hij plaatste een verborgen beheerdersaccount, versleutelde 1.342 Nacos-configuraties met AES, gooide de oorspronkelijke tabellen weg en liet een losgeldbriefje achter. De agent gebruikte daarbij een willekeurig gegenereerde sleutel die nooit werd opgeslagen of verstuurd, waardoor de data onherstelbaar is, zelfs als het losgeld wordt betaald.

Wat dit anders maakt dan een gewone hack

Geen van de losse technieken is nieuw. Standaardwachtwoorden, een oude authenticatiebug, een blootgestelde database: dat is dagelijkse kost. Het verontrustende zit in de aansturing. Sysdig telde ruim 600 afzonderlijke, doelgerichte payloads, allemaal doorspekt met commentaar in natuurlijke taal dat de redenering achter elke actie uitlegt, iets wat een menselijke aanvaller nooit doet. Het duidelijkste bewijs van autonomie is een moment waarop het misging: toen een aangemaakt achterdeur-account niet wilde inloggen, stelde de agent binnen 31 seconden zelf de oorzaak vast (een verkeerd PATH in een subproces), koos een andere aanpak, verwijderde het mislukte account en maakte het opnieuw aan, waarna de login wel lukte. Geen mens die tussenbeide kwam, geen kant-en-klaar script: het model corrigeerde zichzelf en ging door.

De agent was deze keer de aanvaller, niet het slachtoffer

Dit kantelt het beeld dat rond AI-agents en beveiliging is ontstaan. Tot nu toe ging het steeds om een agent die werd misleid: denk aan de AutoJack-aanval waarbij een kwaadaardige webpagina een zelfgehoste AI-agent code op je eigen server laat uitvoeren, of een schone repository die een codeeragent via een nette foutmelding tot het ongemerkt installeren van malware verleidt. In al die gevallen is de agent het verwarde hulpje dat misbruikt wordt. Bij JADEPUFFER is de agent zelf de aanvaller die de operatie draait. Dat is de governance-verschuiving: dezelfde autonomie die je een agent geeft om werk over te nemen, kan door een aanvaller worden ingezet om jouw systemen leeg te halen, sneller en goedkoper dan een mens dat zou doen.

De voordeur was een oud, allang gepatcht lek

Belangrijk om te zien: de inbraak begon niet met een geavanceerde zero-day. CVE-2025-3248 is al verholpen in Langflow 1.3.0 en staat sinds mei 2025 op CISA's lijst van actief misbruikte kwetsbaarheden. Het slachtoffer draaide dus een verouderde, internet-blootgestelde Langflow-instance terwijl de patch ruim een jaar beschikbaar was. Dat is een ander lek dan het kritieke Langflow-gat CVE-2026-5027 dat eerder dit jaar actief werd misbruikt, maar het patroon is identiek: een AI-tool die vlot voor een demo werd opgezet en daarna met open toegang bleef draaien. Elke schakel die de agent daarna gebruikte, van de MinIO-standaardwachtwoorden tot de Nacos-bug uit 2021, was een bekende hygiënefout, geen onvermijdelijk noodlot.

Wat betekent dit voor jouw bedrijf

De concrete les is nuchter: de aanval slaagde door een opeenstapeling van dingen die je vandaag kunt controleren. Draai je zelf AI-infrastructuur, behandel die dan als productiesoftware. Patch je AI-tools net zo snel als je firewall, zet nooit een flow-builder of gateway zonder authenticatie open op het internet, ruim standaardwachtwoorden op en scheid je API-sleutels en cloud-inloggegevens van processen die vanaf het web bereikbaar zijn. Egress-controle die voorkomt dat een gecompromitteerde host zomaar een externe database kan bereiken, breekt precies de pivot die JADEPUFFER maakte. Wie een gestructureerde aanpak wil, vindt in een overzicht van hoe je Langflow en je credentials dichttimmert tegen dit soort supply chain-aanvallen de stappen op een rij.

De grotere boodschap zit in de snelheid. Wat vroeger een ervaren aanvaller en uren handwerk kostte, deed hier een model in een aaneengesloten reeks van honderden zetten, inclusief zelfcorrectie. Dat verlaagt de drempel voor complexe, meerlaagse aanvallen drastisch. De vraag die elk bestuur zich nu moet stellen is niet alleen welke toegang je AI-agents intern geeft, maar ook of je systemen bestand zijn tegen een tegenstander die diezelfde autonomie tegen je gebruikt. De eerste die het incident overleeft, is de organisatie die haar basisbeveiliging op orde had voordat het model aanklopte.