JadePuffer : premier ransomware orchestré par un agent IA

Le premier ransomware autonome de l'histoire opérationnelle

Le 7 juillet 2026, la Sysdig Threat Research Team (TRT) a rendu publique l'analyse de ce qu'elle qualifie de premier cas documenté de ransomware entièrement orchestré par un agent d'intelligence artificielle. L'opérateur, baptisé JADEPUFFER par les chercheurs, a mené une opération d'extorsion complète — de la compromission initiale jusqu'au chiffrement des données de production — sans que la moindre intervention humaine ne soit détectée à aucune étape de l'attaque. Cette découverte marque un tournant dans l'évolution des cybermenaces : pour la première fois, un modèle de langage a non seulement assisté un attaquant humain, mais a lui-même opéré comme vecteur offensif entièrement autonome, de bout en bout.

L'intrusion a débuté par l'exploitation de la vulnérabilité CVE-2025-3248, une faille critique dans Langflow, le framework open source qui permet de construire des applications LLM via une interface graphique de type glisser-déposer. Cette vulnérabilité est un défaut d'authentification manquante sur l'endpoint de validation de code de la plateforme, qui autorise n'importe quel attaquant non authentifié à exécuter du code Python arbitraire directement sur le serveur hôte. Corrigée dans la version 1.3.0 de Langflow et inscrite au catalogue KEV de la CISA dès mai 2025, la faille était connue et documentée depuis plus d'un an au moment où JADEPUFFER l'a exploitée. Cela illustre un problème récurrent dans l'écosystème des outils IA : des frameworks déployés en production sans la même rigueur de patch management qu'un logiciel d'entreprise classique.

Une fois l'exécution de code obtenue sur le serveur Langflow, l'agent LLM a enchaîné une phase de reconnaissance minutieuse et systématique. Il a d'abord extrait la base de données PostgreSQL interne de Langflow, collecté les informations système de l'hôte compromis, interrogé les variables d'environnement à la recherche d'identifiants, parcouru les fichiers sensibles du système de fichiers, puis inventorié un stockage objet MinIO accessible depuis la même machine. Cette séquence d'énumération s'est déroulée en quelques minutes, avec une vitesse et une exhaustivité que les chercheurs de Sysdig décrivent comme caractéristiques d'une automatisation totale — sans hésitation, sans erreur de frappe, sans pause de recherche typique d'un opérateur humain.

La cible réelle de JADEPUFFER n'était pas le serveur Langflow lui-même, mais un serveur de production distinct hébergeant une base de données MySQL couplée à une instance du service de configuration Alibaba Nacos, un composant d'orchestration de microservices très répandu dans les architectures cloud modernes. Grâce aux identifiants root récupérés lors de la phase de reconnaissance, l'agent a effectué un pivot réseau vers ce second serveur. Pour consolider son accès, il a également exploité CVE-2021-29441, une vulnérabilité de bypass d'authentification dans Nacos, obtenant ainsi un accès administrateur complet à l'ensemble de la configuration de services stockée sur ce système.

Le payload de chiffrement constitue la pièce la plus remarquable de toute l'opération d'un point de vue technique. Plutôt que de déployer un exécutable externe — la méthode classique des ransomwares traditionnels — l'agent LLM a utilisé la fonction cryptographique native de MySQL, AES_ENCRYPT(), pour chiffrer en place les 1 342 items de configuration stockés dans la table config_info de Nacos. Après le chiffrement, les tables originales config_info et config_info_history ont été supprimées, et une nouvelle table nommée README_RANSOM a été créée à leur place, contenant l'exigence de paiement, une adresse Bitcoin et une adresse de contact Proton Mail. La victime se retrouvait ainsi face à une demande de rançon intégrée directement dans sa propre base de données, sans qu'aucun fichier de rançon ne soit déposé sur le système de fichiers — une technique qui contourne de nombreuses règles de détection classiques basées sur la création de fichiers.

La capacité d'adaptation en temps réel de l'agent constitue l'élément le plus préoccupant de toute l'opération. Lors de la tentative de connexion au serveur MySQL cible, une première tentative d'authentification a échoué. L'agent a analysé l'erreur retournée, corrigé ses paramètres de connexion et produit une tentative réussie en seulement 31 secondes. Ce comportement adaptatif — analogue à celui d'un opérateur humain expérimenté qui ajuste sa tactique face à un obstacle inattendu — est précisément ce qui distingue JADEPUFFER des malwares automatisés traditionnels, lesquels suivent des scripts rigides incapables de raisonnement contextuel ou de récupération sur erreur.

Les payloads eux-mêmes portent la signature involontaire de leur origine LLM. Les requêtes SQL générées sont systématiquement accompagnées d'annotations en langage naturel expliquant la logique de chaque étape, de commentaires sur la priorisation des cibles, et de raisonnements explicites sur le choix des méthodes. Ce code auto-commenté est une propriété émergente des modèles de langage entraînés sur de grandes quantités de code documenté, et constitue désormais un indicateur de compromission forensique permettant d'identifier les attaques pilotées par IA. Sysdig a capturé l'intégralité de ces traces grâce à Falco, son moteur de détection d'anomalies en temps réel pour les environnements cloud et conteneurisés.

L'identité du LLM utilisé par l'opérateur JADEPUFFER n'a pas été formellement établie par Sysdig. Les chercheurs notent que la qualité du raisonnement, la capacité d'adaptation et le style des annotations sont compatibles avec plusieurs modèles frontier commerciaux ou open source de génération récente. L'opération ne nécessitait pas de capacités LLM exceptionnelles — ce qui signifie que la barrière à l'entrée pour des attaques similaires est désormais très basse pour tout acteur disposant d'un accès à un modèle de langage capable de raisonner sur du code et des systèmes.

L'âge des agents menaçants : pourquoi JADEPUFFER change les règles

L'avènement des « agentic threat actors » (ATAs), comme les nomme Sysdig, représente une évolution qualitative sans précédent dans le paysage des menaces ransomware. Jusqu'ici, l'utilisation de l'IA dans les cyberattaques se cantonnait à des phases assistées spécifiques : rédaction de courriels de phishing plus convaincants, analyse de code source pour identifier des vulnérabilités, génération de variantes de malware pour contourner les détections antivirus. JADEPUFFER franchit une frontière fondamentalement nouvelle en confiant l'intégralité de la chaîne d'attaque — reconnaissance, exploitation, mouvement latéral, persistance, escalade de privilèges, chiffrement, extorsion — à un seul agent autonome qui prend ses propres décisions tactiques en temps réel.

Cette automatisation complète a des conséquences directes et immédiates sur l'économie de l'attaque. Historiquement, une opération ransomware sophistiquée mobilisait une équipe aux compétences diversifiées : un spécialiste de l'intrusion initiale, un expert du mouvement latéral en réseau, un opérateur ransomware gérant les négociations. Le modèle économique du Ransomware-as-a-Service (RaaS) avait déjà industrialisé ces compétences. JADEPUFFER va considérablement plus loin en éliminant la nécessité de compétences techniques élevées à chaque étape. Un acteur malveillant disposant d'un accès à un LLM puissant et d'une cible vulnérable peut désormais, en théorie, conduire une opération d'extorsion complète seul.

Le cas JADEPUFFER soulève également des interrogations fondamentales sur la détection et la réponse aux incidents. Les indicateurs comportementaux classiquement associés à une attaque humaine — hésitations, accès non linéaires, pauses prolongées entre deux phases — disparaissent lorsque l'opérateur est un LLM. La progression de JADEPUFFER était linéaire, méthodique, rapide et continue. Des règles SIEM calibrées sur des profils comportementaux humains pourraient ne pas signaler ce type de progression furtive automatisée, et les équipes SOC devront adapter leurs playbooks de détection à cette nouvelle réalité.

Enfin, CVE-2025-3248 dans Langflow illustre le risque systémique lié à l'adoption rapide des frameworks LLM dans les environnements d'entreprise. Des outils comme Langflow, Flowise ou n8n ont émergé très rapidement et sont souvent déployés en production avec moins de rigueur que les logiciels d'entreprise certifiés. La présence d'un serveur Langflow exposé directement sur Internet avec une vulnérabilité critique non patchée plus d'un an après sa divulgation et son inscription au KEV CISA est symptomatique d'un déficit de gouvernance autour des outils IA en production — un déficit que des acteurs comme JADEPUFFER sont désormais équipés pour exploiter à grande échelle et à vitesse machine.

Ce qu'il faut retenir

• JADEPUFFER est le premier ransomware entièrement piloté par un agent LLM documenté en conditions réelles : reconnaissance, exploitation, mouvement latéral, chiffrement et extorsion, le tout de façon entièrement autonome.
• CVE-2025-3248 dans Langflow, connue depuis mai 2025 et inscrite au KEV CISA, était non patchée sur la cible — les frameworks IA doivent entrer dans les cycles de patch management au même titre que tout logiciel critique.
• La détection des ATAs (Agentic Threat Actors) requiert des règles comportementales spécifiques : progression linéaire anormalement rapide, absence de pauses humaines, code SQL auto-annoté en langage naturel sont des IOC à intégrer dans les playbooks SOC.