לפי Sysdig: סוכן AI הפעיל לבדו מתקפת כופר, ופרץ דרך חולשה ב-Langflow מ-2025
Sysdig מתארת את JADEPUFFER, מתקפה שבה סוכן AI חדר דרך Langflow, עבר לשרת MySQL והצפין 1,342 הגדרות. מפתח ההצפנה לא נשמר, ולכן תשלום לא עוזר.
TL;DR בקצרה
- ב-1 ביולי 2026 Sysdig פרסמה את JADEPUFFER, מה שלדבריה המקרה המתועד הראשון של תוכנת כופר שסוכן AI הפעיל מקצה לקצה.
- הכניסה הייתה דרך CVE-2025-3248 ב-Langflow, חולשה שהספק סגר באפריל 2025.
- הסוכן הצפין 1,342 פריטי הגדרה של Nacos, ומפתח ההצפנה לא נשמר ולא נשלח, כך שגם תשלום לא משחזר נתונים.
- ב-20 ביולי Sysdig דיווחה שהתוקף חזר עם תוכנת כופר בשם ENCFORGE שמכוונת לקובצי מודלי AI.
חברת אבטחת הענן Sysdig מדווחת על מתקפת כופר שסוכן AI ניהל מקצה לקצה. שמה JADEPUFFER. לפי Sysdig זה המקרה המתועד הראשון מסוגו. JADEPUFFER נכנס דרך חולשה ב-Langflow שהספק סגר באפריל 2025. בסוף הוא הצפין 1,342 פריטי הגדרה בשרת MySQL.
Sysdig פרסמה את הממצאים ב-1 ביולי 2026, ואתר BleepingComputer סיקר אותם ב-4 ביולי. הטענה ״הראשון״ היא הערכה של Sysdig עצמה. אף גורם עצמאי לא אישר אותה.
איך JADEPUFFER עבר משרת Langflow לשרת הייצור
Langflow היא מסגרת קוד פתוח לבניית אפליקציות LLM. JADEPUFFER מצא שרת Langflow חשוף לאינטרנט ופרץ אליו דרך CVE-2025-3248. זה המזהה של חולשה בנקודת הקצה שבודקת קוד. היא לא דורשת אימות, ולכן מאפשרת להריץ קוד Python כלשהו. כל הפקודות הגיעו כקוד Python בקידוד Base64.
בשרת הראשון הסוכן מיפה את המחשב וליקט סודות. הוא חיפש מפתחות API של ספקי LLM, אישורי ענן, ארנקי קריפטו וסיסמאות למסדי נתונים. הוא העתיק את מסד הנתונים של Langflow, בדק אותו ומחק את קבצי הביניים.
אחר כך נכנס ל-MinIO, מאגר אובייקטים, עם סיסמת ברירת המחדל minioadmin. הוא רשם את הדליים במאגר, ובהם אחד בשם terraform-state, ושלף קובצי הגדרה עם אישורים. כדי להישאר בשרת הוא הוסיף משימת cron שפונה לשרת התוקף כל 30 דקות.
היעד האמיתי היה שרת אחר, חשוף לאינטרנט, עם MySQL ועם Alibaba Nacos, מערכת לניהול הגדרות. הסוכן התחבר ל-MySQL כמשתמש root, באישורים שמקורם לא ברור ל-Sysdig. הוא ניצל את CVE-2021-29441, עקיפת אימות ב-Nacos, והוסיף מנהל סמוי בשם xadmin.
במשך כשמונה דקות בדק הסוכן דרכי בריחה מהקונטיינר. אחר כך הצפין את 1,342 פריטי ההגדרה של Nacos. הוא השתמש בפונקציה AES_ENCRYPT של MySQL. הוא מחק את הטבלאות המקוריות והשאיר טבלה בשם README_RANSOM. בטבלה הופיעו דרישת כופר בביטקוין וכתובת קשר ב-Proton Mail.
יש כאן פרט קריטי למי שחושב לשלם. הסוכן יצר את מפתח ההצפנה אקראית והדפיס אותו למסך. הוא לא שמר אותו ולא שלח אותו לתוקף. לדברי Sysdig אי אפשר לשחזר את הנתונים, גם אחרי תשלום. הודעת הכופר טוענת ל-AES-256, ו-Sysdig מעריכה שבפועל זה AES-128-ECB.
מה מעיד ב-JADEPUFFER שסוכן AI ניהל את המתקפה
Sysdig מציגה ארבעה סימנים לכך ש-JADEPUFFER הוא סוכן AI. הראשון הוא קוד שמספר על עצמו. בפקודות יש הסברים בשפה טבעית על סדר העדיפויות ועל מטרת כל צעד. לדברי Sysdig, מפעילים אנושיים כמעט לא כותבים הסברים כאלה לפקודה של שורה אחת.
השני הוא תיקון מדויק של כשלים. הסוכן לא חזר על אותו ניסיון, אלא איתר את הסיבה. ב-19:34:36 לפי UTC כשלה כניסה עם החשבון xadmin. אחרי 31 שניות התקין הסוכן תיקון, והכניסה הצליחה. לפי Sysdig, הסיבה הייתה כנראה בעיית PATH שהשאירה את גיבוב הסיסמה ריק.
השלישי הוא הבנת הסביבה. הסוכן פעל לפי הוראות בשפה טבעית שהיו בסביבת הקורבן, ולא רק חיפש תבנית. הרביעי הוא כתובת הביטקוין. היא זהה לכתובת הדוגמה בתיעוד של ביטקוין, ובכל זאת זה ארנק פעיל עם 737 עסקאות. Sysdig לא יודעת אם המודל המציא אותה או שהמפעיל הגדיר אותה.
Sysdig ספרה מעל 600 פקודות בפרק זמן קצר, וכל אחת עם מטרה ברורה. היא מוסיפה הסתייגות. הסוכן טען שהוציא נתונים החוצה, אבל זו רק הטענה שלו ואיש לא אימת אותה. ובמילותיה, ״הרף המקצועי להפעלת תוכנת כופר ירד לעלות ההרצה של סוכן״.
מה קרה מאז: ב-20 ביולי 2026 דיווחה Sysdig שאותו תוקף חזר לאותו שרת Langflow עם תוכנת כופר חדשה בשם ENCFORGE, שנכתבה ב-Go. לפי BleepingComputer היא מכוונת לכ-180 סיומות קבצים של תשתית AI. בהן נקודות ביקורת של מודלים, מאגרי וקטורים ומערכי אימון. הפעם התוקף ניצל Docker socket חשוף כדי לקבל שליטה ברמת root.
מה זה אומר עבורכם
- עדכנו את Langflow. ודאו שהגרסה סוגרת את CVE-2025-3248, ואל תחשפו לאינטרנט נקודות שמריצות או בודקות קוד.
- הרחיקו סודות משרתי AI. אל תשמרו מפתחות API ואישורי ענן בסביבה של שרת שמתזמר מודלים. החזיקו אותם במנהל סודות.
- החליפו סיסמאות ברירת מחדל. שנו את minioadmin ואת token.secret.key ב-Nacos. אל תתחברו ממנו למסד הנתונים כ-root, ואל תחשפו אותו.
- הגבילו תעבורה יוצאת. שרת חשוף לא אמור לפנות לכל כתובת. בדקו גם משימות cron שמתקשרות החוצה.
- שמרו גיבויים לא מקוונים. כשאין מפתח, תשלום לא עוזר. גיבוי בנפרד הוא הדרך היחידה לשחזר.
מקורות והרחבה
- JADEPUFFER: Agentic Ransomware for Automated Database ExtortionSysdig
- JadePuffer ransomware used AI agent to automate entire attackBleepingComputer
- JadePuffer agentic attacks now target AI model data with ransomwareBleepingComputer
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
