Un agent IA qui pirate un serveur, vole des identifiants, chiffre des fichiers et rédige lui-même sa demande de rançon : c’est ce qu’a documenté la société de sécurité cloud Sysdig, selon TechCrunch. Mais la formule « sans aucune supervision humaine » relayée un peu partout ne tient pas : un humain était toujours dans la boucle, juste pas pour la partie technique.
L’opération, baptisée JadePuffer, est présentée par Sysdig comme le premier cas connu de « ransomware agentique » : une extorsion où l’exécution technique, du début à la fin, a été gérée par un agent IA et non par une personne.
Ce que l’agent a réellement fait tout seul
Les détails techniques valent le détour. Selon Sysdig, l’agent est entré via une faille connue de Langflow, un outil open source populaire pour construire des applications LLM. De là, il a rebondi vers un serveur MySQL de production et exploité une autre vulnérabilité connue pour obtenir un accès administrateur.
Il a ensuite chiffré plus de 1 300 enregistrements de configuration, laissé une demande de rançon qu’il a écrite lui-même, et une adresse Bitcoin pour le paiement. Ce qui a marqué les chercheurs, ce n’est pas la sophistication des techniques (assez ordinaires, d’après eux) mais la vitesse et la transparence. L’agent a corrigé un échec de connexion en 31 secondes, en commentant son propre raisonnement en langage naturel dans le code au fur et à mesure. Sysdig n’a pas révélé l’identité de la cible.
L’humain toujours dans la boucle
C’est là que le récit « personne au clavier » se fissure. Dans un entretien lundi avec CyberScoop, Michael Clark, directeur senior de la recherche sur les menaces chez Sysdig, a précisé le rôle humain restant.
« Un humain a quand même monté et orienté l’opération, provisionné l’infrastructure derrière : le serveur de commande et de contrôle, le serveur de staging utilisé pour les données volées, et il a choisi une victime », a déclaré Clark. Autre point clé : les identifiants ayant servi à pénétrer la base de données de la victime n’ont pas été récoltés par l’agent. Quelqu’un les a obtenus séparément, via une compromission antérieure, avant de les fournir à l’opération.
Un détail avait d’abord brouillé les pistes. Clark avait évoqué « plusieurs modèles utilisés dans l’attaque », citant des clés dérobées pour OpenAI, Anthropic, DeepSeek et Gemini. Interrogé par TechCrunch, il a corrigé : ces clés faisaient simplement partie du butin. « L’agent a ratissé l’hôte Langflow pour tout ce qui avait de la valeur, clés d’API, identifiants cloud, portefeuilles crypto et configs de bases de données, et ces clés de fournisseurs faisaient partie du loot », a-t-il écrit. « Elles ne nous disent pas quel modèle prenait les décisions. » Sysdig indique ne pas avoir pu identifier le modèle qui pilotait l’agent, ni son prompt système.
Une menace bornée par le budget, pas par l’humain
Le chercheur Microsoft Geoff McDonald a avancé sur LinkedIn une hypothèse : un modèle à poids ouverts dont l’entraînement de sécurité aurait été retiré, plutôt qu’un modèle frontière, sur la base de son expérience de red-teaming montrant que les couches de sécurité des grands labos tiennent bien. Sysdig ne confirme ni n’écarte cette piste.
McDonald a aussi prévenu que les campagnes de ransomware sont désormais limitées surtout par le budget de l’attaquant plutôt que par l’effort humain, évoquant « des milliers, voire des dizaines de milliers de campagnes simultanées ». Un scénario difficile à concilier avec la description de Clark : si un humain doit toujours choisir chaque victime, provisionner l’infrastructure et récupérer les identifiants pour chaque opération, ça reste un goulot d’étranglement. Reste que Clark s’attend à voir la même opération frapper d’autres victimes, vu le faible coût d’un agent.
FAQ
Qu’est-ce que JadePuffer ?
JadePuffer est le nom donné par Sysdig à une opération d’extorsion où un agent IA a géré l’exécution technique d’une cyberattaque, présentée comme le premier cas connu de « ransomware agentique ». L’agent a chiffré plus de 1 300 enregistrements de configuration et rédigé sa propre demande de rançon.
L’attaque a-t-elle vraiment été menée sans humain ?
Non. Selon Michael Clark de Sysdig, un humain a choisi la cible, monté l’infrastructure (serveur de commande et de contrôle, serveur de staging) et fourni les identifiants d’accès obtenus lors d’une compromission antérieure. L’agent gérait uniquement l’exécution technique.
Sait-on quel modèle IA pilotait l’agent ?
Non. Sysdig indique ne pas avoir pu identifier le modèle qui dirigeait l’agent. Le chercheur Microsoft Geoff McDonald soupçonne un modèle à poids ouverts privé de son entraînement de sécurité, mais Sysdig ne confirme ni n’écarte cette hypothèse.
