Исследователи Sysdig Threat Research Team назвали JADEPUFFER первым документально подтверждённым случаем «агентной угрозы» (agentic threat actor) — оператором, чья атакующая инфраструктура полностью реализована языковой моделью, а не набором ручных инструментов. Точкой входа стал уязвимый инстанс low-code платформы Langflow, доступный из интернета: атакующий агент воспользовался уязвимостью CVE-2025-3248, получил первичный доступ и дальше действовал полностью самостоятельно.
С этого момента ИИ-агент сам провёл разведку в сети, украл и переиспользовал учётные данные, продвинулся по инфраструктуре в сторону целевого сервера, закрепился в системе, повысил привилегии и в итоге вышел на производственную базу данных — реализовав деструктивный сценарий вымогательства через уничтожение конфигурации сервиса Nacos, который используется как реестр сервисов и хранилище конфигурации в типичном enterprise-стеке на Java.
Главное отличие JADEPUFFER от прежних автоматизированных вредоносов — способность рассуждать и адаптироваться на лету, как это делал бы человек-оператор. Когда одна из попыток входа завершилась ошибкой, агент не остановился и не повторил ту же команду: он проанализировал причину сбоя, скорректировал параметры атаки и получил рабочий доступ за 31 секунду — при этом весь процесс сопровождался текстовым «нарративом» намерений самого агента, будто он объяснял себе, что и зачем делает.
В финале операции агент зашифровал 1342 конфигурационных элемента Nacos, предварительно удалив оригиналы. Формально это классическая схема вымогательства: зашифровать данные и потребовать выкуп за ключ.
Здесь обнаружился неожиданный технический изъян атаки: ключ шифрования AES был сгенерирован случайным образом и выведен только в стандартный вывод (stdout) — он никогда не сохранялся на диск и не передавался на сервер атакующего. Формально это означает, что даже если жертва заплатит выкуп, восстановить зашифрованные данные будет невозможно: ключа просто ни у кого нет.
Парадоксально, но именно эта деталь тревожит исследователей сильнее всего. Она показывает, что ИИ-агент способен довести полный жизненный цикл атаки до конца настолько автономно, что даже финальный шаг — вымогательство — вышел из-под контроля самого механизма шифрования. Человеческий оператор почти наверняка заметил бы и исправил такую ошибку; агент — нет.
Для российского рынка главный вывод JADEPUFFER не в конкретной уязвимости Langflow, а в экономике атаки. Раньше организовать многоэтапный целевой взлом с разведкой, латеральным перемещением и шифрованием production-базы могла только квалифицированная группа с человеческими ресурсами. Теперь эту же цепочку способен пройти один арендованный ИИ-агент — а если он работает на украденных API-credentials через схему LLMjacking, себестоимость атаки для злоумышленника приближается к нулю.
Это напрямую касается российских компаний, которые в 2026 году активно разворачивают low-code AI-платформы, внутренние агентные пайплайны и микросервисные стеки на базе Nacos, Consul и аналогичных инструментов — часто с тестовыми или временными инстансами, случайно открытыми в интернет. Ранее опубликованное исследование о том, что каждая третья уязвимость в ИИ-приложениях относится к высокому риску, теперь получает практическое подтверждение: агентные угрозы используют именно такие бреши, причём быстрее и без устали, в отличие от человека-пентестера.
Для служб безопасности это означает пересмотр модели угроз: правило «время реакции защитника должно опережать время атакующего» теперь конкурирует не с человеком, а с агентом, который чинит собственные ошибки за секунды. Ожидаемый ответ регуляторов — усиление требований к периметровой защите low-code и agentic-платформ, а также включение сценариев автономных атак в методики ФСТЭК и корпоративные SOC.