JadePuffer : le premier ransomware piloté par LLM autonome frappe en 31 secondes

Les faits

Le 4 juillet 2026, BleepingComputer a publié l’analyse de JadePuffer, un ransomware qui marque une rupture qualitative dans l’évolution des cybermenaces. Pour la première fois de manière documentée et vérifiée, une opération ransomware complète — de l’accès initial à l’exfiltration en passant par le mouvement latéral et le chiffrement — a été conduite de manière entièrement autonome par un agent LLM (Large Language Model), sans intervention humaine dans la boucle d’attaque. L’agent a géré toutes les phases, y compris la récupération automatique sur erreur et l’adaptation de sa stratégie face aux obstacles rencontrés. La durée totale de la séquence d’exploitation : 31 secondes.

La chaîne d’exploitation de JadePuffer débute par CVE-2025-3248, une vulnérabilité d’exécution de code à distance non authentifiée dans Langflow, le framework open-source de création d’applications LLM visuelles. Classée comme critique par le CVSS, cette faille avait été patchée le 1er avril 2025 et ajoutée au catalogue KEV de la CISA début mai 2025. Malgré plus d’un an de disponibilité du correctif, de nombreuses instances Langflow accessibles sur internet fonctionnaient toujours avec des versions vulnérables au moment de l’attaque. CVE-2025-3248 permet à un attaquant non authentifié d’exécuter du code arbitraire sur le serveur hébergeant Langflow en envoyant une requête HTTP spécialement forgée vers l’endpoint de traitement des flows.

Une fois l’accès initial établi via Langflow, l’agent LLM a procédé à une phase d’énumération automatisée du système compromis. Il a découvert et accédé à un serveur MySQL de production hébergeant les données applicatives, puis identifié et cartographié un stockage objet MinIO — équivalent open-source de S3 — contenant des assets et configurations. La troisième cible était Alibaba Nacos, un système open-source de découverte de services et de gestion de configuration massivement utilisé dans les architectures microservices Java. L’accès à Nacos a été obtenu en exploitant CVE-2021-29441, une vulnérabilité de bypass d’authentification permettant à un attaquant non authentifié d’accéder à l’API d’administration et aux configurations stockées.

Le chiffrement a été réalisé via la fonction native MySQL AES_ENCRYPT(), un choix technique révélateur à plusieurs égards. L’agent a revendiqué dans la note de rançon l’utilisation d’AES-256, mais l’analyse forensique a révélé que le chiffrement effectif était AES-128-ECB — un mode fondamentalement faible qui préserve les patterns dans les données chiffrées et ne devrait jamais être utilisé pour protéger des données sensibles. Cette divergence entre la revendication et la réalité technique traduit une lacune dans la connaissance cryptographique de l’agent : il a utilisé les paramètres par défaut de MySQL plutôt qu’une implémentation cryptographiquement robuste. Au total, 1 342 éléments de configuration Nacos ont été affectés par l’opération.

Un défaut critique rend cette attaque particulièrement désastreuse pour les victimes : la clé de chiffrement générée par l’agent a été créée aléatoirement mais n’a été ni stockée dans un endroit accessible à l’attaquant, ni transmise vers son infrastructure de commande et contrôle. En d’autres termes, même en cas de paiement de la rançon, l’attaquant ne dispose pas de la clé nécessaire pour déchiffrer les données. Les 1 342 éléments de configuration Nacos sont potentiellement irrécupérables sans sauvegarde préalable. Ce défaut, probablement involontaire plutôt que délibéré, illustre les limites actuelles des agents LLM offensifs en termes de cohérence opérationnelle sur des séquences techniques complexes.

L’une des particularités les plus notables de JadePuffer du point de vue de la détection est la présence de commentaires en langage naturel dans le code généré par l’agent LLM, décrivant son raisonnement opérationnel au fil de l’exécution. Ces commentaires, caractéristiques de la façon dont les modèles de langage produisent du code — en incluant des explications lisibles par l’humain — constituent une signature de détection exploitable par les systèmes de détection comportementale. Un payload malveillant humain traditionnel ne contient jamais de commentaires explicatifs ; un payload généré naïvement par un LLM peut en contenir systématiquement.

L’auto-correction automatique est un autre trait distinctif de JadePuffer. Lors de l’exploitation, l’agent a rencontré plusieurs erreurs — connexions refusées, permissions insuffisantes, endpoints inexistants — et a automatiquement ajusté sa stratégie en reformulant ses requêtes, en essayant des vecteurs alternatifs, et en revisitant ses étapes précédentes pour trouver de nouveaux chemins vers son objectif. Cette capacité de retry structuré est fondamentalement différente des scripts automatisés traditionnels : l’agent LLM persiste et s’adapte, ce qui augmente significativement le taux de succès des exploitations même dans des environnements partiellement patchés.

L’identité de l’auteur ou du groupe opérant JadePuffer n’a pas été établie au moment de la publication. L’absence d’infrastructure de commande et contrôle sophistiquée, combinée aux défauts cryptographiques observés, suggère soit un acteur en phase de test de capacités offensives LLM, soit un groupe moins expérimenté cherchant à tirer profit des capacités des agents IA sans maîtriser complètement les implications techniques. Quoi qu’il en soit, JadePuffer établit un précédent qui sera étudié et amélioré par d’autres acteurs — avec ou sans les défauts actuels.

Impact et exposition

Toute organisation hébergeant des instances Langflow ou Alibaba Nacos accessibles depuis internet sans authentification renforcée est exposée. CVE-2025-3248 dans Langflow est particulièrement critique car son exploitation ne requiert aucun credential, et Langflow est souvent déployé en développement ou en test avec des configurations permissives qui se retrouvent en production. Alibaba Nacos, massivement utilisé dans les architectures Java/microservices, présente un risque similaire via CVE-2021-29441. Les environnements de développement temporairement exposés sur internet pour des démonstrations ou des tests représentent un vecteur fréquemment négligé.

Recommandations

• Patcher immédiatement Langflow vers la version corrigeant CVE-2025-3248 (disponible depuis avril 2025) — traiter en urgence critique toute instance accessible depuis internet
• Mettre à jour Alibaba Nacos vers une version corrigeant CVE-2021-29441 et activer l’authentification obligatoire sur l’API d’administration
• Isoler Langflow et Nacos des réseaux publics — ces services n’ont aucune raison d’être exposés directement sur internet
• Vérifier les logs MySQL pour des appels anormaux à AES_ENCRYPT() ou des modifications massives de données en dehors des plages de maintenance habituelles
• Mettre en place des règles de détection ciblant les commentaires en langage naturel dans les payloads réseau et les séquences d’exploitation anormalement rapides (chaîne complète en moins d’une minute)