Una recente analisi di sicurezza descrive un attacco ransomware contro database che sarebbe stato eseguito dall’inizio alla fine da un AI agent, riducendo drasticamente la necessità di competenze umane durante l’intrusione. L’operazione è stata attribuita a un operatore identificato come JADEPUFFER e avrebbe sfruttato un difetto noto di Langflow, piattaforma open source usata per creare applicazioni di intelligenza artificiale e workflow di agenti.
Punto di ingresso e vulnerabilità sfruttata
Il punto di ingresso è la vulnerabilità CVE-2025-3248, un problema di autenticazione mancante che consente remote code execution. In pratica, chiunque riesca a raggiungere un server Langflow esposto può eseguire codice Python senza effettuare login. Anche se la falla è stata corretta in Langflow 1.3.0 e inserita in elenchi di vulnerabilità sfruttate attivamente, molti sistemi non sono stati aggiornati. Questo rende Langflow un bersaglio appetibile, anche perché spesso contiene chiavi API e credenziali cloud necessarie a collegarsi ai servizi esterni.
Ricognizione, raccolta segreti e persistenza
Dopo l’accesso iniziale, l’AI agent avrebbe agito rapidamente con una fase di ricognizione e raccolta segreti. Sono stati cercati e potenzialmente sottratti:
- Token e chiavi per servizi AI
- Credenziali cloud
- Accessi a database
- Chiavi di wallet crypto
Un passaggio critico è stato l’accesso a un server MinIO tramite credenziali di default minioadmin / minioadmin, mai cambiate. Per mantenere persistenza, sarebbe stata creata una scheduled task con beacon periodico verso un server remoto.
Compromissione di MySQL e Nacos
La fase successiva ha puntato a un server esposto con MySQL e Nacos, componente comune in architetture a microservizi per configurazione e service discovery. L’agente avrebbe ottenuto accesso al database come root e poi compromesso Nacos sfruttando:
- Un bypass di autenticazione del 2021
- Una signing key predefinita distribuita invariata da anni
Sarebbe stato inoltre creato un account admin controllato dall’attaccante. A quel punto sono stati cifrati oltre mille parametri di configurazione e rimosse tabelle originali, lasciando una richiesta di riscatto in Bitcoin. Un dettaglio inquietante è che la chiave di cifratura sarebbe stata generata in modo casuale e mostrata una sola volta senza essere salvata o inviata, rendendo impossibile il recupero anche pagando.
Indizi di un attacco guidato da AI
Gli indicatori che suggeriscono un attacco guidato da AI includono payload numerosi e commentati in inglese con spiegazioni passo passo e correzioni degli errori in pochi secondi, tipiche di un modello che ragiona e adatta l’esecuzione.
Misure difensive consigliate
Sul piano difensivo, diventano cruciali:
- Patch tempestive e aggiornamento di Langflow
- Rimozione degli endpoint esposti su Internet
- Gestione sicura dei segreti (API key, credenziali cloud e database)
- Hardening di Nacos (autenticazione, chiavi di firma, account admin)
- Limitazione del traffico in uscita per impedire comunicazioni di command and control