La ricerca di Sysdig (Threat Research Team) ha documentato quello che definisce il primo caso di ransomware "agentico": un'operazione di estorsione condotta dall'inizio alla fine non da un operatore umano con i suoi strumenti, ma da un modello linguistico (LLM) autonomo. I ricercatori lo hanno battezzato JADEPUFFER e lo classificano come agentic threat actor (ATA): un attore la cui capacità offensiva è erogata da un agente di intelligenza artificiale, non da un toolkit guidato passo per passo da una persona. L'intero attacco, dalla violazione iniziale alla cifratura del database, si è svolto in meno di un'ora.

La catena di attacco è istruttiva. L'accesso iniziale è avvenuto sfruttando CVE-2025-3248, una falla di missing authentication nell'endpoint di validazione del codice di Langflow, la piattaforma open source per costruire flussi di intelligenza artificiale: la vulnerabilità consente a un attaccante non autenticato di eseguire codice Python arbitrario sull'host. È lo stesso tipo di esposizione che avevamo già raccontato parlando di un'altra falla critica di Langflow sfruttata in appena 20 ore. Una volta dentro, l'agente ha agito in totale autonomia: ha enumerato i dettagli del sistema, cercato chiavi API e credenziali cloud — con copertura esplicita dei provider cinesi (Alibaba/Aliyun, Tencent, Huawei) oltre ad AWS, Azure e Google Cloud — ha estratto il database Postgres di Langflow, verificato i servizi interni raggiungibili e sondato uno storage MinIO usando le credenziali di default.

Gli artefatti recuperati mostrano che il vero bersaglio era un secondo server di produzione esposto su internet, con un database MySQL e un servizio di configurazione Alibaba Nacos. JADEPUFFER ha attaccato Nacos con più vettori: un bypass di autorizzazione (CVE-2021-29441) e la forgiatura di un token JWT valido sfruttando la chiave di firma di default di Nacos. Il segnale più chiaro dell'autonomia dell'agente non è ciò che ha fatto quando le cose funzionavano, ma come ha reagito ai fallimenti: dopo aver provato a creare un account amministratore su Nacos con un hash bcrypt generato al volo, ha verificato il login, si è accorto che falliva e ha emesso il payload corretto 31 secondi dopo. Un ritmo di correzione impossibile per un operatore umano che digita a mano.

La fase finale è stata devastante. L'agente ha usato la funzione AES_ENCRYPT() di MySQL per cifrare tutti i 1.342 elementi di configurazione presenti su Nacos, poi ha creato una tabella README_RANSOM contenente la richiesta di riscatto, un indirizzo di portafoglio Bitcoin e un contatto Proton Mail per la negoziazione. Il dettaglio più grave: l'agente è passato dalla cancellazione di singole righe alla eliminazione di interi schemi di database, senza salvare da nessuna parte i dati cifrati. Significa che la vittima non potrebbe recuperare i dati nemmeno pagando il riscatto. A completare il quadro, i payload decodificati sono pieni di commenti in linguaggio naturale che spiegano il perché di ogni azione, comprese valutazioni di "ritorno sull'investimento" per scegliere i bersagli più preziosi: un modo di annotare il codice tipico della generazione automatica di un LLM, non di un attaccante umano.

Cosa significa per le aziende italiane

Il salto di qualità qui non è tecnico ma operativo. Le singole vulnerabilità usate da JADEPUFFER non sono nuove né particolarmente sofisticate; la novità è che un'intelligenza artificiale le ha concatenate, adattandosi in tempo reale, alla velocità della macchina. Per un'azienda questo comprime drasticamente la finestra di rilevamento e risposta: quando un attacco si completa in meno di un'ora, i tempi di reazione tarati sull'idea di un operatore umano che avanza a tentativi diventano inadeguati. Chi difende deve confrontarsi con avversari che non si stancano, non commettono errori di battitura e correggono i propri fallimenti in mezzo minuto.

Il vettore di ingresso è il secondo messaggio da non ignorare. Strumenti per lo sviluppo di applicazioni AI come Langflow, e servizi di configurazione come Nacos, finiscono spesso esposti su internet da team di innovazione e data science, con credenziali di default e senza le protezioni riservate ai sistemi di produzione. In Italia, dove l'adozione di piattaforme low-code per l'IA è in forte crescita, questi ambienti "sperimentali" rappresentano un perimetro d'attacco reale e trascurato. Infine, il fatto che pagare non garantisca il recupero dei dati ribalta la logica di molti piani di continuità: l'unica vera assicurazione restano i backup, offline e verificati.

Il contesto normativo

Un attacco di questo tipo che coinvolge dati personali fa scattare gli obblighi del GDPR: la notifica della violazione al Garante per la protezione dei dati personali entro 72 ore dalla presa di conoscenza, quando ci sia un rischio per i diritti degli interessati, e in certi casi la comunicazione agli interessati stessi. Per i soggetti che rientrano nel perimetro NIS2 (D.lgs. 138/2024), si aggiunge l'obbligo di notifica dell'incidente significativo al CSIRT Italia dell'ACN, con la nota tempistica di pre-notifica entro 24 ore. Vale infine il principio consolidato, ribadito dalle autorità: pagare il riscatto è sconsigliato, non offre garanzie di recupero — come dimostra proprio questo caso — e alimenta il modello economico degli attaccanti.

Cosa fare subito

  • Aggiornare Langflow e correggere CVE-2025-3248 su tutte le istanze, incluse quelle di test; rimuovere dall'esposizione pubblica ogni endpoint AI che non debba essere raggiungibile da internet.
  • Non esporre su internet servizi di configurazione come Nacos, database e storage interni; collocarli dietro VPN o segmentazione di rete.
  • Cambiare tutte le credenziali e le chiavi di default, a partire dalla chiave di firma JWT di Nacos e dalle credenziali MinIO/MySQL; applicare il principio del privilegio minimo alle credenziali cloud.
  • Dotarsi di rilevamento comportamentale (EDR/runtime security) capace di intercettare sequenze anomale ad alta velocità, non solo firme statiche: è la contromisura più efficace contro un attaccante "a velocità macchina".
  • Mantenere backup immutabili e offline, testandone regolarmente il ripristino: sono l'unica protezione reale quando i dati cifrati non sono recuperabili nemmeno pagando.
  • Ridurre la superficie esposta con scansioni periodiche (Shodan, Censys) delle proprie istanze AI e dei servizi raggiungibili da internet, e ruotare le credenziali potenzialmente esposte.