Ransomware autónomo con IA

El Malware JADEPUFFER automatizó la extorsión de datos

La aparición de JADEPUFFER marca un punto de inflexión en la evolución del ransomware, no porque haya introducido una técnica de explotación completamente nueva, sino porque habría encadenado varias técnicas conocidas bajo control autónomo de un modelo de lenguaje. La empresa de ciberseguridad SYSDIG afirma que se trata del primer caso documentado de ransomware “agentico”, es decir, una operación de extorsión ejecutada de extremo a extremo por un LLM sin intervención humana directa en cada etapa crítica.

Si un agente de IA puede reconocer un entorno, buscar credenciales, probar rutas alternativas, corregir errores y continuar hacia el objetivo final, la barrera de entrada para campañas destructivas puede bajar de forma significativa. En otras palabras, la amenaza ya no depende solo del conocimiento profundo de un atacante humano, sino de su capacidad para instrumentar y dirigir sistemas que automatizan decisiones tácticas.

Según el informe de Sysdig, JADEPUFFER obtuvo acceso inicial a una instancia expuesta de Langflow mediante CVE-2025-3248, una vulnerabilidad de inyección de código en el endpoint de validación que permite a un atacante remoto y no autenticado ejecutar código arbitrario. La base de datos de vulnerabilidades (NVD) confirma que Langflow en versiones anteriores a 1.3.0 es susceptible a inyección de código en /api/v1/validate/code, y que un atacante remoto sin autenticación puede enviar solicitudes HTTP especialmente construidas para ejecutar código arbitrario. CISA también incluyó esta falla en su catálogo de vulnerabilidades explotadas activamente, lo que refuerza que no se trata de un problema teórico.

Una vez dentro, Sysdig describe una secuencia llamativa: el sistema habría enumerado procesos, buscado API keys, credenciales de base de datos y otros secretos, y luego habría pivotado hacia un servidor de producción que alojaba MySQL y NACOS. La investigación sostiene que el agente usó varias rutas contra NACOS, incluyendo abuso de la vulnerabilidad CVE-2021-29441, forja de tokens mediante la clave por defecto y, en una fase más destructiva, manipulación directa de la base de datos de respaldo de la configuración. La importancia de esta cadena es clara: el acceso inicial no era el objetivo final, sino el trampolín hacia extorsión sobre datos operativos críticos.

La vulnerabilidad de entrada

La primera pieza verificable del caso es la vulnerabilidad CVE-2025-3248. De acuerdo a la información de la NVD la describe como una vulnerabilidad de inyección de código en Langflow anterior a 1.3.0, en el endpoint de validación de código, explotable de forma remota y sin autenticación. Censys y otras fuentes técnicas coinciden en que el problema permite a un atacante tomar control del servidor vulnerable mediante solicitudes HTTP especialmente diseñadas, con severidad crítica. La línea defensiva es igualmente consistente: actualizar a 1.3.0 o superior y evitar exponer al público endpoints de ejecución o validación.

El hecho de que Langflow sea una plataforma orientada a construir flujos con LLM explica por qué se vuelve un objetivo atractivo. Estos servidores suelen concentrar credenciales de proveedores de IA, secretos de nube y claves operativas, precisamente porque se diseñan como nodos de orquestación con alto privilegio funcional. Eso convierte a un error de exposición perimetral en una amenaza desproporcionada, pues el atacante no solo gana una máquina, sino una posible llave de acceso a otros sistemas.

El salto a NACOS

La segunda pieza relevante es NACOS. Nacos es una plataforma de descubrimiento de servicios y configuración dinámica muy usada en arquitecturas de microservicios, y la vulnerabilidad CVE-2021-29441 corresponde a un bypass de autenticación que afecta a versiones anteriores a 1.4.1. GitHub Advisory explica que el fallo podía eludir la autenticación mediante el encabezado User-Agent o mediante estructuras de URL específicas, permitiendo realizar tareas administrativas no autorizadas. En términos prácticos, esto significa que una plataforma de configuración puede convertirse en un punto único de ruptura si está expuesta sin endurecimiento suficiente.

Sysdig sostiene que el malware JADEPUFFER no dependió de una sola táctica, sino que probó varias en paralelo: bypass de autenticación, uso de la clave de firma por defecto y alteración directa de la base de datos subyacente. Esa multiplicidad importa porque muestra adaptabilidad ofensiva. No se trata de una “receta” fija, sino de un proceso de decisión que evalúa qué ruta funciona con el menor costo aparente.

El núcleo del informe de Sysdig es la observación de comportamiento adaptativo. La empresa describe payloads con comentarios en lenguaje natural, priorización de objetivos y correcciones rápidas cuando una maniobra fallaba. Uno de los ejemplos más citados es el intervalo de 31 segundos entre un fallo de autenticación y una versión corregida del intento, lo que Sysdig interpreta como evidencia de observación y ajuste a velocidad de máquina. Este tipo de patrón no prueba por sí mismo que cada paso haya sido “pensado” por un LLM, pero sí sugiere una orquestación más flexible que un script rígido.

Ese punto es crucial para la defensa. Los atacantes tradicionales ya automatizaban enumeración, fuerza bruta y exfiltración, pero el valor de los agentes reside en su capacidad para reformular el plan frente a errores inesperados. Cuando una respuesta XML llega en vez de JSON, o cuando una clave por defecto no funciona, un agente puede reencaminarse sin esperar a que un operador revise la consola. Esa elasticidad reduce el tiempo entre acceso y daño, que es justamente una de las métricas más valiosas para el defensor.

Extorsión de bases de datos

El componente más alarmante del caso es la extorsión sobre la base de datos. Sysdig afirma que JADEPUFFER habría cifrado 1.342 elementos de configuración de NACOS usando funciones de MySQL, eliminado tablas originales y creado una nota de rescate dentro del propio sistema. Desde una perspectiva forense, el detalle más fuerte no es solo la cifra, sino el uso de la propia lógica de base de datos para destruir el valor operativo de la información. Esto convierte el incidente en algo más grave que un simple robo: es una alteración deliberada del entorno de ejecución de negocio.

Hay un matiz técnico relevante. El informe de Sysdig señala que la nota de rescate menciona AES-256, pero que la función AES_ENCRYPT() de MySQL no necesariamente usa AES-256 por defecto; puede usar otros modos según la configuración. Esa precisión importa porque evita exagerar la fortaleza criptográfica del cifrado empleado, aunque el efecto práctico sigue siendo devastador: los datos quedan inaccesibles para la víctima si la clave no se conserva.

El caso JADEPUFFER no debe interpretarse como la llegada de una inteligencia maligna completamente nueva, sino como la convergencia de tres condiciones ya conocidas: software expuesto, secretos mal gestionados y automatización ofensiva accesible. Google ha advertido que la inyección indirecta y otras formas de manipulación del contexto están creciendo en la web, y que los agentes de IA pueden ser inducidos por contenido no confiable a tomar acciones no deseadas. Eso encaja con la idea de que los sistemas con componentes de IA no solo deben protegerse contra fallas clásicas, sino también contra entradas semánticas o contextuales que alteren su comportamiento.

Además, el caso ilustra una lección organizacional incómoda: muchas arquitecturas modernas concentran demasiado poder en servicios que se despliegan rápido y se exponen antes de madurar en seguridad. Langflow representa exactamente ese riesgo, porque facilita experimentar con agentes y flujos de IA, pero también puede convertirse en un nodo con privilegios amplios si se publica sin controles. La combinación de agilidad y exposición es muy eficiente para innovar, pero también muy eficiente para comprometerse.

Riesgo para empresas

Para las empresas, el mensaje no es únicamente “parcheen Langflow” o “actualicen NACOS”. El mensaje real es que cualquier sistema de orquestación de IA puede transformarse en puerta de entrada si contiene secretos, credenciales o acceso a otros servicios. En entornos donde la IA se integra con bases de datos, almacenamiento de objetos y servicios internos, el impacto de una intrusión inicial puede ser mucho mayor que el de una aplicación convencional.

También cambia la economía del ataque. Sysdig argumenta que el costo de ejecutar campañas más complejas baja cuando el trabajo repetitivo, la adaptación táctica y la secuenciación se delegan a un agente. Eso no significa que los atacantes desaparezcan del proceso; significa que su rol puede desplazarse hacia el diseño, el enrutamiento y la supervisión, mientras el agente hace el trabajo operacional. Desde la perspectiva defensiva, esa mutación obliga a acelerar detección, contención y segmentación.

Respuesta defensiva

La respuesta técnica debe comenzar por la superficie de exposición. Las guías verificadas convergen en tres medidas: actualizar Langflow a una versión corregida, no exponer endpoints de ejecución/validación a Internet y restringir el acceso a servicios de configuración como Nacos con controles de red y autenticación robusta. También conviene rotar cualquier secreto que haya convivido con un servidor orquestador comprometido, porque el informe de Sysdig muestra que estas plataformas tienden a almacenar claves de alto valor.

En paralelo, la organización debe asumir que el tiempo de reacción es parte del problema. Si un agente puede corregir fallos en segundos, la detección basada solo en alertas tardías pierde eficacia. Por eso, la defensa debe incluir telemetría en tiempo real, límites de egress, segmentación de privilegios y supervisión de procesos que ejecutan acciones anómalas sobre bases de datos o servicios de configuración. La observabilidad deja de ser un lujo y pasa a ser un control de seguridad crítico.

JADEPUFFER es importante porque condensa una tendencia más amplia: la industrialización de ataques complejos mediante agentes capaces de encadenar acciones con mínima fricción humana. Lo más relevante no es que un LLM “sepa hackear”, sino que pueda convertir vulnerabilidades conocidas en una secuencia operacional de extorsión con gran velocidad y capacidad de recuperación. En ese sentido, el caso no inaugura el ransomware, pero sí su posible fase de automatización más peligrosa.

Los sistemas de IA conectados a servicios reales ya forman parte de la superficie de ataque crítica. El error más costoso sería tratarlos como prototipos aislados, cuando en realidad ya operan como intermediarios privilegiados entre datos, credenciales y procesos de negocio. Si esa capa falla, el daño puede dejar de ser un incidente técnico y convertirse en una interrupción estructural de la organización.

Fuentes

SYSDIG: JADEPUFFER: Agentic ransomware for automated database extortion

NVD: Vulnerabilidad CVE-2021-29441

CENSYS: Unauthenticated Code Injection Vulnerability in Langflow

HelpnetSecurity: Indirect prompt injection is taking hold in the wild