Llamar a JADEPUFFER “el primer ransomware agéntico” invita a discutir lo menos importante. La pregunta no es si desapareció la persona detrás de la campaña. No desapareció. La pregunta útil es cuánto de la operación técnica pasó a un loop adaptativo ejecutado por una máquina y cuánto tiempo les queda ahora a los defensores para reaccionar.

El 1 de julio, Sysdig Threat Research Team publicó lo que considera el primer caso documentado de ransomware agéntico. La cadena de ataque era conocida. La velocidad, la priorización de objetivos y la recuperación frente a fallas no.

Qué observó Sysdig

El acceso inicial llegó mediante CVE-2025-3248, una vulnerabilidad de ejecución de código sin autenticación en el endpoint de validación de Langflow. Las versiones anteriores a 1.3.0 eran vulnerables. La corrección estaba disponible desde hacía más de un año y CISA había sumado la falla a su catálogo de vulnerabilidades explotadas en mayo de 2025.

Ese primer host no era el objetivo final. Era el puente. Según Sysdig, el agente enumeró la máquina, buscó claves de proveedores, credenciales de cloud, wallets y secretos de bases de datos, extrajo la base Postgres de Langflow y recorrió servicios internos accesibles.

Después probó MinIO con credenciales por defecto y se adaptó cuando la respuesta llegó en XML en lugar de JSON. Estableció persistencia mediante un beacon en cron. Desde ahí alcanzó un servidor MySQL de producción detrás de Alibaba Nacos, probó debilidades conocidas de Nacos y creó una cuenta administrativa de backdoor.

El primer login falló porque el valor bcrypt generado era incorrecto. La secuencia siguiente diagnosticó la causa, cambió el método de hashing, recreó la cuenta e inició sesión. Entre el login fallido y la corrección funcional pasaron 31 segundos.

En la fase destructiva cifró 1.342 configuraciones de Nacos con AES_ENCRYPT() de MySQL, eliminó las tablas originales y de historial, y creó una tabla README_RANSOM. Más tarde desactivó los controles de foreign keys para eliminar otros schemas después de que un intento anterior fallara.

Sysdig contó más de 600 payloads distintos y con propósito ejecutados en una ventana comprimida. Muchos narraban en lenguaje natural sus objetivos, correcciones y elecciones de targets. Esa combinación de narración, recuperación específica frente a errores y timing sostiene la evaluación de que un agente con LLM estaba conduciendo la ejecución.

Los 31 segundos importan más que los 600 payloads

Seiscientos payloads suenan impactantes. La corrección en 31 segundos dice más.

Un script fijo puede correr rápido, pero normalmente también repite rápido el mismo error. JADEPUFFER cambió de enfoque a partir de la falla que acababa de observar. El patrón apareció otra vez cuando MinIO devolvió otro formato, cuando rechazaron un JWT falsificado y cuando un DROP DATABASE chocó contra una restricción entre tablas.

Ahí cambia el modelo de seguridad. Una persona puede seguir “en el loop” desde el punto de vista organizacional, pero eso sirve de poco si el agente observa, decide y ejecuta varias acciones irreversibles antes de que alguien entienda la primera alerta.

La ventana de respuesta ya no está definida por la velocidad de tipeo de una persona. En partes de este incidente quedó definida por la inferencia del modelo, la latencia de red y el tiempo de ejecución de la base de datos.

Las técnicas eran viejas

Nada en la cadena documentada necesitó un exploit nuevo. Combinó un RCE de Langflow ya corregido, credenciales por defecto de MinIO, debilidades antiguas de Nacos, privilegios excesivos en la base de datos y persistencia convencional. Por eso el caso importa.

Los agentes abaratan la explotación del largo historial de fallas conocidas. Pueden recorrer más caminos, probar más combinaciones y seguir después de una falla parcial sin pedirle a un operador que escriba el próximo script. Los sistemas abandonados no se volvieron vulnerables de repente. Se volvieron más rápidos de explotar como secuencia.

Langflow también era un punto de entrada valioso porque un servidor de workflows de IA suele estar cerca de lo que busca un atacante: claves de proveedores, credenciales de cloud, bases de datos, object stores y APIs internas. Tratarlo como una herramienta descartable de desarrollo es un error de categoría. Es infraestructura privilegiada.

Qué no demuestra el caso

JADEPUFFER no fue un actor independiente que se despertó y eligió una víctima. Había un operador, infraestructura y un objetivo aguas arriba. El seguimiento de Sysdig describe el modelo de operación de forma clara: una persona puede apuntar un agente hacia un entorno y dejar que el modelo conduzca la secuencia técnica de extorsión.

El informe también tiene detalles que obligan a ser cuidadosos al hablar de competencia. La clave de cifrado se imprimió una sola vez, pero nunca se guardó ni transmitió, por lo que la víctima no podía recuperar los datos ni siquiera pagando. La dirección de Bitcoin de la nota era la dirección de ejemplo que aparece en documentación de Bitcoin. Sysdig no pudo determinar si el modelo la reprodujo desde sus datos de entrenamiento o si el operador controlaba exactamente esa wallet.

La campaña fue adaptativa y destructiva. No fue infalible. Las dos cosas pueden ser ciertas.

Los controles que habrían cambiado el resultado

La víctima no podía imponerle una política al agente del atacante. Los controles aplicables estaban en los sistemas a los que el agente consiguió llegar.

  • Eliminar el punto de entrada. Actualizar Langflow, no exponer endpoints de ejecución de código a internet e inventariar los servicios públicos de workflows de IA como infraestructura privilegiada.
  • Separar los secretos del proceso web. Las claves de proveedores y las credenciales de cloud no deberían quedar disponibles de forma amplia en el entorno de un orquestador expuesto a internet.
  • Limitar el movimiento lateral. Las políticas de red y los controles de egress deberían impedir que un host comprometido escanee servicios internos, alcance puertos administrativos o se comunique con destinos arbitrarios.
  • Reducir la autoridad sobre la base. Nacos no debería conectarse a su base como root. Las cuentas administrativas necesitan restricciones por origen, credenciales únicas y el menor alcance posible.
  • Detectar secuencias, no comandos aislados. La búsqueda de secretos, la enumeración de servicios, la persistencia programada, los cambios de privilegio y las operaciones destructivas forman una señal mucho más fuerte cuando se leen juntas.

La narración del propio agente también es una señal útil. Los payloads descartables de un ataque normalmente no explican por qué una base tiene más “ROI” que otra. El razonamiento en lenguaje natural dentro de código generado no prueba nada por sí solo, pero aporta contexto valioso para detección y triage.

Qué significa para los agentes que desplegamos

Un agente ofensivo y uno empresarial persiguen objetivos distintos. El problema de control está relacionado. Ambos pueden encadenar herramientas ordinarias hasta producir un resultado que nadie autorizó como conjunto.

En un agente propio, la política antes de ejecutar importa. Las acciones destructivas sobre bases de datos, la lectura de credenciales, los destinos de red y los cambios de privilegios deberían pasar por controles determinísticos fuera del modelo. La identidad y las credenciales tienen que estar acotadas a la tarea. La interrupción debe ser más rápida que la secuencia que pretende detener.

Escribí por separado sobre la autonomía como límite de seguridad. JADEPUFFER aporta evidencia de campo para el punto central: la participación humana aguas arriba dice muy poco sobre la velocidad y la autoridad del loop de ejecución aguas abajo.

La evolución llegó rápido

El 20 de julio, Sysdig documentó una segunda operación de JADEPUFFER. El mismo contacto de extorsión apareció en una cadena de herramientas más madura. En lugar de depender sólo de Python improvisado y funciones de base de datos, el operador desplegó ENCFORGE, un ransomware compilado en Go que apuntaba a unas 180 extensiones de archivos entre checkpoints de modelos, bases vectoriales, datasets y almacenes de embeddings.

Esa evolución llevó días, no trimestres. El primer informe mostró a un agente automatizando extorsión sobre bases de datos. El segundo mostró al operador moviéndose hacia la propia infraestructura de IA.

La conclusión práctica es directa. Hay que corregir las fallas viejas, aislar los sistemas que orquestan agentes y aplicar autoridad en cada recurso que pueden alcanzar. La era del actor agéntico no es un escenario futuro. Ya es un modo de operación documentado.

Fuentes primarias

Fuentes y estado del incidente revisados el 21 de julio de 2026.