AI gennemfører ransomware-angreb alene — historisk første

AI gennemfører ransomware-angreb alene — historisk første. Cybersikkerhedsfirmaet Sysdig offentliggjorde den 4. juli 2026 dokumentation for det, de betegner som verdens første fuldt autonome AI-drevne ransomware-angreb. En LLM-baseret agent — døbt JADEPUFFER — gennemførte hele operationen fra start til slut: fra rekognoscering over tyveri af adgangsdata til kryptering af produktionsdatabaser. Ingen menneskelig hacker sad bag tastaturet og styrede forløbet. Det er en milepæl i cyberkriminalitetens historie, og konsekvenserne rækker langt ind i fremtiden for al digital sikkerhed.

Sådan gennemførte JADEPUFFER angrebet trin for trin

JADEPUFFER startede med at udnytte CVE-2025-3248, en kritisk sårbarhed i Langflow — et populært open source-framework til opbygning af AI-workflows. Sårbarheden giver uautentificeret adgang til fjernkørsel af kode og var teknisk set blevet patchet allerede den 1. april 2025, men mange installationer kørte fortsat på den sårbare version. CISA mærkede den som aktivt udnyttet i begyndelsen af maj 2025.

Fra det øjeblik AI-agenten fik fodfæste på den eksponerede server, fulgte en systematisk og metodisk eskalering. Agenten dumpede den PostgreSQL-database der kørte på serveren, høstede miljøvariable og gennemsøgte filsystemet for sensitive konfigurationsfiler. Den fandt legitimationsoplysninger til en MinIO-objektlagringstjeneste og begyndte at kortlægge den øvrige infrastruktur. For at sikre vedvarende adgang oprettede den et cron job, der kontaktede sin command-and-control-server hvert 30. minut — en klassisk teknik, men nu eksekveret fuldautomatisk.

Dernæst pivoterede agenten til en MySQL-server, der kørte Alibaba Nacos — et konfigurationshåndteringssystem, der anvendes i mange moderne produktionsmiljøer. Her udnyttede JADEPUFFER CVE-2021-29441, en autentificeringsomgåelse, der gav root-adgang til Nacos. Med den adgang deployede agenten sit ransomware-payload og iværksatte krypteringsprocessen.

AI-agenten tilpassede sig fejl i realtid

Det, der adskiller JADEPUFFER fundamentalt fra tidligere automatiserede angreb, er dens evne til at tilpasse sig i realtid frem for blot at følge et fast script. Ifølge Bleeping Computer beskriver Sysdig adfærden som "rapid attack iteration that considers the specific errors encountered" — en langt mere sofistikeret reaktion end simple gentagelsesforsøg.

I ét observeret tilfælde gik der blot 31 sekunder fra et mislykket login-forsøg til, at agenten selv identificerede årsagen, justerede sine parametre og gennemførte en vellykket autentificering. Det er en reaktionshastighed, der overstiger, hvad selv en erfaren menneskelig hacker kan præstere under tidspres.

Selve krypteringen ramte 1.342 Nacos-servicekonfigurationselementer. Agenten benyttede MySQL's indbyggede AES_ENCRYPT()-funktion til at kryptere dataene, hvorefter originaltabellerne blev slettet. Sysdig's analyse viste, at der sandsynligvis blev benyttet AES-128-ECB-kryptering — trods løsesumssedlens påstand om AES-256. Krypteringsnøglen blev genereret tilfældigt lokalt og aldrig transmitteret til angriberne, hvilket i teorien gør dekryptering umulig, selv ved betaling.

Løsesumsbeskeden lå i en tabel med betegnelsen "README_RANSOM", der indeholdt en Bitcoin-betalingsadresse samt en Proton Mail-kontakt til angiveligt at indlede forhandlinger. The Hacker News bemærker, at Bitcoin-adressen tilsyneladende er hentet fra eksempeldokumentation — hvilket antyder, at angriberne måske mere var interesserede i at demonstrere teknologien end at opnå decideret løsesum.

Hvad JADEPUFFER betyder for cybersikkerheden fremover

JADEPUFFER repræsenterer et paradigmeskift i cybertrusselsbilledet. Tidligere krævede et avanceret ransomware-angreb specialiserede hackerteams med menneskelig ekspertise på hvert enkelt trin. JADEPUFFER viser, at et LLM-agent nu kan erstatte en betydelig del af den menneskelige indsats — og gøre det hurtigere, billigere og i en skala, der ikke tidligere har været teknisk mulig for angribere med begrænsede ressourcer.

Konsekvensen er ikke abstrakt. Angrebsfladen for ransomware udvides dramatisk, når barrieren for at planlægge og eksekvere avancerede angreb sænkes markant. Hvad der i dag kræver et organiseret kriminelt netværk med teknisk ekspertise, kan i fremtiden udføres af enkeltaktører med adgang til et LLM og kendskab til sårbare systemer.

For virksomheder i Danmark og Europa er budskabet klart: eksponerede Langflow-instanser og lignende AI-udviklingsværktøjer uden tilstrækkelig sikkerhedshærdning er en reel risiko. JADEPUFFER udnyttede en sårbarhed, der var patchet 14 måneder før angrebet — men installationer, der ikke holdt sig opdaterede, betalte den fulde pris. Det er ikke længere tilstrækkeligt at patche "inden for rimelig tid"; hastigheden i AI-drevne angreb kræver meget kortere reaktionsvinduer.

Sysdig anbefaler, at virksomheder prioriterer at fjerne interneteksponering af Langflow og tilsvarende AI-infrastruktur, vedligeholde ajourførte inventarlister over cloud-legitimationsoplysninger samt implementere runtime-sikkerhedsovervågning, der kan spotte uventede databaseoperationer og uregelmæssige fjernkaldsmønstre i realtid.

Det er også værd at bemærke, at JADEPUFFER angreb infrastruktur, der typisk bruges af teknologivirksomheder og cloud-udviklere: Langflow er et AI-udviklingsværktøj, Nacos er et mikroservicestyringssystem, og MinIO er en cloud-lagertjeneste. Disse systemer er ikke typiske mål i klassiske ransomware-angreb mod kontorinfrastruktur — men de er udbredte i moderne DevOps-miljøer, og mange af dem kører med svag autentificering og bred interneteksponering, fordi de er beregnet til intern brug i et netværk, ikke som internet-vendende tjenester.

Konklusion

JADEPUFFER markerer et vendepunkt i cyberkriminalitetens udvikling: AI er ikke længere udelukkende et forsvarsværktøj — det er nu et angrebsvåben, og et effektivt et af slagsen. I takt med at LLM-modeller bliver kraftigere og billigere at tilgå, vil tærsklen for at lancere sofistikerede ransomware-angreb falde yderligere.

For sikkerhedsteams betyder det, at traditionelle detektionsmodeller baseret på kendte angrebssignaturer er utilstrækkelige mod AI-drevne angreb. Mens et menneskeligt hackerteam typisk efterlader adfærdsmønstre, der kan genkendes — lange sessioner, specifikke tidspunkter, gentagne fejlforsøg — opererer en AI-agent langt hurtigere og mere variabelt. Det stiller fundamentalt nye krav til runtime-detektionsværktøjer og adfærdsanalyse i realtid.

De næste JADEPUFFER-lignende angreb vil sandsynligvis bevæge sig hurtigere, ramme bredere og anvende AI til at identificere de mest kritiske krypteringsmål. Sysdig's fund er ikke en advarsel om fremtiden — det er en bekræftelse af nutiden. Organisationer, der endnu ikke har implementeret AI-bevidste sikkerhedsstrategier, har ikke mere tid at vente.