El ransomware siempre había tenido a una persona detrás — al teclado,
o al menos escribiendo el script que el malware seguía. Eso cambió:
Sysdig ha documentado lo que consideran el primer caso de ransomware
agéntico, una operación de extorsión completa ejecutada de principio
a fin por un modelo de lenguaje, sin intervención humana entre el
acceso inicial y la nota de rescate.
La puerta de entrada: un fallo ya parcheado, nunca actualizado
El agente, bautizado JadePuffer, entró explotando CVE-2025-3248, un fallo de autenticación faltante en Langflow (framework open source para construir aplicaciones y flujos de agentes con LLM) que permite ejecutar código Python arbitrario sin necesidad de login — un fallo parcheado desde abril de 2025 y catalogado por CISA como explotado activamente, pero que la instancia comprometida nunca había actualizado.
Lo que hizo distinto no fue la técnica, fue quién la ejecutó
Aquí está el punto que de verdad importa: ninguna de las técnicas
individuales usadas era nueva ni sofisticada. Credenciales por defecto
en un servidor de almacenamiento MinIO (minioadmin:minioadmin, nunca
cambiadas), una clave de firma JWT conocida públicamente desde 2020 en
el servicio de configuración Nacos de Alibaba, un servidor MySQL
expuesto a internet con acceso root. Nada de esto es un exploit exótico
— es la lista de descuidos clásicos de cualquier auditoría de
seguridad. Lo que cambió es que un modelo de IA encadenó todo eso solo,
sin que ningún operador humano tuviera experiencia profunda en ninguno
de los pasos individuales.
El agente se adaptaba en tiempo real, no seguía un guion fijo
Los investigadores de Sysdig documentaron algo que distingue esto de
un simple script automatizado: cuando una petición esperaba JSON y
recibió XML, el modelo ajustó su analizador sobre la marcha y
reintentó. En otro momento, diagnosticó un fallo al crear una cuenta
de administrador backdoor, lo corrigió, y confirmó éxito en 31
segundos, sin intervención humana. El propio código generado narraba
su razonamiento en comentarios — el tipo de anotación detallada que
un operador humano rara vez escribe, pero que el código generado por
LLM produce de forma casi refleja.
El detalle más inquietante: no hay forma de recuperar los datos
A diferencia del ransomware tradicional, donde pagar el rescate teóricamente
devuelve el acceso, aquí la clave de cifrado se generó de forma aleatoria,
se imprimió una única vez en la terminal, y nunca se guardó ni se
transmitió a ningún sitio. No existe ninguna clave que el atacante
pueda entregar aunque quisiera — pagar no sirve de nada. El agente
cifró 1.342 registros de configuración y después eliminó las tablas
originales; en algunos casos, escaló de borrar filas sueltas a eliminar
esquemas de base de datos completos.
Señales de que fue un modelo, no una persona con guion
Un detalle curioso que refuerza la hipótesis de Sysdig: la dirección
de contacto del rescate no tiene ni un solo resultado en ninguna base
de datos de inteligencia de amenazas, y su formato no coincide con las
direcciones habituales reutilizadas en miles de víctimas por bandas de
ransomware reales. El nombre de la tabla de rescate tampoco coincide
con ninguna campaña conocida de ransomware sobre MySQL. Son detalles
que apuntan más a generación por IA que a infraestructura real de un
operador experimentado.
Por qué esto no es una revolución técnica, pero sí un cambio de economía
Ninguna medida defensiva nueva hace falta para protegerse de esto —
son las mismas de siempre: parchear, no exponer servicios de ejecución
de código a internet, no guardar credenciales en variables de entorno
accesibles, cambiar credenciales por defecto, restringir tráfico
saliente. Lo que cambia es la economía del ataque: la habilidad
necesaria para lanzar una campaña como esta se reduce a lo que cuesta
alquilar un agente de IA, no a años de experiencia técnica. Eso
convierte la larga cola de sistemas olvidados —paneles de administración,
servicios internos expuestos, servidores de IA, bases de datos con
credenciales por defecto— en objetivos más peligrosos que antes, no
menos, porque un agente puede probar decenas de vías de ataque casi
gratis y sin cansarse.
Contexto: no es el primer intento, pero sí el primero real
En agosto de 2025, investigadores de ESET hablaron de PromptLock como
el primer "ransomware con IA", pero resultó ser un prototipo de
laboratorio de NYU, no un ataque real. Anthropic reportó también una
campaña de extorsión real usando Claude Code contra al menos 17
organizaciones, aunque con un humano dirigiendo la operación. JadePuffer
es, según Sysdig, el primer caso donde no hubo ningún humano dando
órdenes entre el acceso inicial y la nota de rescate.
