El ransomware siempre había tenido a una persona detrás — al teclado, o al menos escribiendo el script que el malware seguía. Eso cambió:
Sysdig ha documentado lo que consideran el primer caso de ransomware agéntico, una operación de extorsión completa ejecutada de principio a fin por un modelo de lenguaje, sin intervención humana entre el acceso inicial y la nota de rescate.

La puerta de entrada: un fallo ya parcheado, nunca actualizado

El agente, bautizado JadePuffer, entró explotando CVE-2025-3248, un fallo de autenticación faltante en Langflow (framework open source para construir aplicaciones y flujos de agentes con LLM) que permite ejecutar código Python arbitrario sin necesidad de login — un fallo parcheado desde abril de 2025 y catalogado por CISA como explotado activamente, pero que la instancia comprometida nunca había actualizado.

Lo que hizo distinto no fue la técnica, fue quién la ejecutó

Aquí está el punto que de verdad importa: ninguna de las técnicas individuales usadas era nueva ni sofisticada. Credenciales por defecto en un servidor de almacenamiento MinIO (minioadmin:minioadmin, nunca cambiadas), una clave de firma JWT conocida públicamente desde 2020 en el servicio de configuración Nacos de Alibaba, un servidor MySQL expuesto a internet con acceso root. Nada de esto es un exploit exótico — es la lista de descuidos clásicos de cualquier auditoría de seguridad. Lo que cambió es que un modelo de IA encadenó todo eso solo, sin que ningún operador humano tuviera experiencia profunda en ninguno de los pasos individuales.

El agente se adaptaba en tiempo real, no seguía un guion fijo

Los investigadores de Sysdig documentaron algo que distingue esto de un simple script automatizado: cuando una petición esperaba JSON y recibió XML, el modelo ajustó su analizador sobre la marcha y reintentó. En otro momento, diagnosticó un fallo al crear una cuenta de administrador backdoor, lo corrigió, y confirmó éxito en 31 segundos, sin intervención humana. El propio código generado narraba su razonamiento en comentarios — el tipo de anotación detallada que un operador humano rara vez escribe, pero que el código generado por LLM produce de forma casi refleja.

El detalle más inquietante: no hay forma de recuperar los datos

A diferencia del ransomware tradicional, donde pagar el rescate teóricamente devuelve el acceso, aquí la clave de cifrado se generó de forma aleatoria, se imprimió una única vez en la terminal, y nunca se guardó ni se transmitió a ningún sitio. No existe ninguna clave que el atacante pueda entregar aunque quisiera — pagar no sirve de nada. El agente cifró 1.342 registros de configuración y después eliminó las tablas originales; en algunos casos, escaló de borrar filas sueltas a eliminar esquemas de base de datos completos.

Señales de que fue un modelo, no una persona con guion

Un detalle curioso que refuerza la hipótesis de Sysdig: la dirección de contacto del rescate no tiene ni un solo resultado en ninguna base de datos de inteligencia de amenazas, y su formato no coincide con las direcciones habituales reutilizadas en miles de víctimas por bandas de ransomware reales. El nombre de la tabla de rescate tampoco coincide con ninguna campaña conocida de ransomware sobre MySQL. Son detalles que apuntan más a generación por IA que a infraestructura real de un operador experimentado.

Por qué esto no es una revolución técnica, pero sí un cambio de economía

Ninguna medida defensiva nueva hace falta para protegerse de esto — son las mismas de siempre: parchear, no exponer servicios de ejecución de código a internet, no guardar credenciales en variables de entorno accesibles, cambiar credenciales por defecto, restringir tráfico saliente. Lo que cambia es la economía del ataque: la habilidad necesaria para lanzar una campaña como esta se reduce a lo que cuesta alquilar un agente de IA, no a años de experiencia técnica. Eso convierte la larga cola de sistemas olvidados —paneles de administración, servicios internos expuestos, servidores de IA, bases de datos con credenciales por defecto— en objetivos más peligrosos que antes, no menos, porque un agente puede probar decenas de vías de ataque casi gratis y sin cansarse.

Contexto: no es el primer intento, pero sí el primero real

En agosto de 2025, investigadores de ESET hablaron de PromptLock como el primer «ransomware con IA», pero resultó ser un prototipo de laboratorio de NYU, no un ataque real. Anthropic reportó también una campaña de extorsión real usando Claude Code contra al menos 17 organizaciones, aunque con un humano dirigiendo la operación. JadePuffer es, según Sysdig, el primer caso donde no hubo ningún humano dando órdenes entre el acceso inicial y la nota de rescate.