Los ataques de ransomware han entrado en una nueva fase. Investigadores han documentado una campaña llamada JADEPUFFER, en la cual un agente de IA planificó, ejecutó y escaló una operación de extorsión sin evidencia de supervisión humana. El agente utilizó un servidor de flujo de trabajo de IA expuesto para robar credenciales, acceder a bases de datos, cifrar registros y exigir un pago.

Los ataques de ransomware están entrando en una nueva fase. Un grupo de investigadores ha documentado una campaña en la que un agente de IA planificó, ejecutó y escaló una operación de extorsión sin pruebas de que un humano aprobara sus acciones.

La operación, rastreada como JADEPUFFER, utilizó un servidor de flujo de trabajo de IA expuesto para robar credenciales, acceder a bases de datos, cifrar registros y exigir un pago.

Posteriormente, desplegó un bloqueador dirigido a archivos de modelos, datos de entrenamiento y bases de datos vectoriales, lo que aumenta el riesgo para los sistemas de IA. Analistas de SOCRadar señalaron que este cambio no depende de métodos nuevos.

Combina debilidades conocidas, incluyendo servicios expuestos, falta de parches, credenciales por defecto y secretos mal protegidos, con un agente capaz de evaluar los resultados y seleccionar su siguiente movimiento a velocidad de máquina.

SOCRadar afirmó en un informe que este desarrollo lleva los ataques más allá del ritmo de los operadores humanos.

La preocupación no es que la IA haya inventado el ransomware, sino que puede reducir el tiempo entre un pequeño fallo de seguridad y un impacto destructivo.

Los Agentes de IA Ahora Ejecutan Ataques de Ransomware

JADEPUFFER es considerado ransomware agéntico porque el modelo hizo más que crear un señuelo de phishing o un fragmento de código. Dado un objetivo y herramientas, ejecutó comandos, leyó el resultado, ajustó su enfoque y continuó hacia la extorsión.

Su punto de entrada fue CVE-2025-3248, un fallo de falta de autenticación en el endpoint de validación de código de Langflow. Como explica el informe sobre el fallo crítico de código de Langflow, la debilidad puede permitir que un atacante no autenticado ejecute Python en un host vulnerable, convirtiendo los despliegues expuestos en un riesgo serio.

El agente buscó claves de nube, credenciales de API, frases semilla de carteras, configuraciones de bases de datos y datos almacenados. Encontró un servicio MinIO que utilizaba credenciales por defecto, estableció un acceso recurrente y utilizó información del host comprometido para llegar a los servicios MySQL y Alibaba Nacos.

La actividad fue más allá de un escaneo básico. Según se informa, el agente corrigió un inicio de sesión fallido en 31 segundos, falsificó un token utilizando una clave de firma pública predeterminada de Nacos e insertó una cuenta de administrador trasera (backdoor).

Luego cifró 1.342 registros de configuración, eliminó las tablas originales y dejó una demanda de rescate. Los investigadores encontraron más de 600 cargas útiles (payloads) deliberadas en un periodo comprimido, además de comentarios en lenguaje natural que explicaban las acciones y evidencia de que el operador mantenía el contexto entre sesiones.

Estas señales respaldaron la evaluación de que un agente de IA dirigió la campaña. La cobertura de la primera campaña autónoma de JADEPUFFER proporciona más detalles técnicos.

JADEPUFFER regresó más tarde con ENCFORGE, un bloqueador diseñado para atacar unas 180 extensiones de archivo en entornos de IA y aprendizaje automático.

El enfoque en puntos de control de modelos, bases de datos vectoriales, índices de incrustación y datos de entrenamiento resalta activos que los planes de respaldo tradicionales podrían pasar por alto.

Los Defensores Necesitan una Respuesta a Velocidad de Máquina

No todos los eventos de ransomware son totalmente autónomos. La investigación FortiBleed de SOCRadar muestra un modelo intermedio: un marco de 14 agentes ayudó a construir investigación de exploits, herramientas de validación y manuales de ataque, mientras que los operadores humanos seguían realizando las intrusiones.

La distinción es importante, pero ambos modelos reducen el tiempo y la experiencia necesarios para causar daño. Un agente puede continuar después de un comando fallido, procesar grandes cantidades de información y operar fuera del horario laboral sin los retrasos o errores que podrían exponer a un atacante humano.

Debes identificar las plataformas de flujo de trabajo de IA, los endpoints de ejecución de código, los paneles de administración y los almacenes de datos que sean accesibles desde internet.

Debes aplicar parches rápidamente, exigir una autenticación fuerte, eliminar las credenciales por defecto y mantener las claves de API, las credenciales de nube y los secretos de bases de datos fuera de los archivos de configuración accesibles vía web.

Tu equipo debe restringir las conexiones salientes desde hosts comprometidos, limitar el acceso administrativo por dirección de origen y vigilar los comandos repetitivos rápidos o las tareas programadas que se conecten a intervalos fijos.

La advertencia de vulnerabilidad de Langflow de CISA explica por qué sigue siendo importante solucionar este punto de entrada rápidamente. Los respaldos deben incluir activos de IA, no solo bases de datos y carpetas compartidas.

Las copias offline e inmutables de modelos, datos vectoriales y conjuntos de datos de entrenamiento pueden limitar los ataques centrados en la destrucción, mientras que los planes de respuesta probados deben asumir que un intruso podría pasar del acceso al daño en cuestión de horas.

El ecosistema de ransomware más amplio explota sistemas perimetrales expuestos y accesos robados, un patrón visto en los informes sobre la ola de ataques de ransomware de Fortinet. JADEPUFFER muestra qué cambia cuando un atacante puede tomar decisiones de forma continua y rápida.

Fuentes:
https://cybersecuritynews.com/ai-agents-3/