Løsepengevirusgrupper har brukt et tiår på å fjerne behovet for ferdigheter. Løsepengevirus som en tjeneste gir angrepssett til alle som er villige til å dele løsepengene. Nå fjernes et nytt lag: behovet for en person ved tastaturet i det hele tatt.
I juni 2026, forskere ved Sysdig dokumenterte det de mener er den første ransomware-kampanjen som nesten utelukkende ble drevet av en AI-agent., fra første fotfeste til løsepengebrev. De kalte det JadePuffer. Det er det tydeligste beviset hittil på at spørsmålet ikke lenger er om AI-agenter kan automatisere løsepengevirusangrep. Det handler om hvor raskt forsvarere kan ta igjen tapt tap.
Problemet bransjen allerede hadde
Løsepengevirus trengte ikke kunstig intelligens for å bli en industriell virksomhet. I følge Akamais rapport om løsepengevirus, RaaS-modellen (ransomware-as-a-service) fungerer allerede som en legitim forsyningskjede, med utviklere som bygger skadevaren, tilknyttede selskaper som kjører angrepene med en overskuddsdeling så generøs som 90/10, og meglere i første omgang som selger nettverksplasser for så lite som $3,000. Utpressingstaktikker har eskalert i takt: fra enkeltstående utpressing, til dobling (kryptering og lekkasje), til trippel (legge til DDoS-press), til firedobling, der angripere nå kontakter offerets egne kunder og partnere for å tvinge frem betaling.
De fleste organisasjoner har håndtert dette på samme måte i årevis: sikkerhetskopiere dataene, segmentere nettverket, håpe at angriperens tilknyttede program har en rolig måned. Det var allerede et tap. Det setter den gjennomsnittlige kostnaden for gjenoppretting av ransomware til 2.73 millioner dollar og en gjennomsnittlig nedetid på 21 dager, og Cybersecurity Ventures anslår til sammen 43 200 ransomware-angrep per dag over hele verden innen 2031.
AI skaper ikke dette problemet. Den fjerner den siste menneskelige flaskehalsen fra det.
Hva som endret seg: en AI-agent kjørte ransomware-angrepet, ikke bare skadevaren
Retningen i utviklingen var allerede synlig før JadePuffer. RaaS-gruppen FunkSec skal visstnok bruke generativ AI til å skrive ransomware-kode, generere nye varianter og kjøre forhandlings-chatboter med ofre, hovedsakelig fordi gruppen mangler dyp teknisk ekspertise. Andre trusselaktører bruker AI til å utarbeide overbevisende phishing-e-poster og kjøre phishing-anrop som utgir seg for å være ekte ansatte, og standardverktøy som WormGPT, DarkGPT og FraudGPT finnes spesifikt for å fjerne ferdighetskravet for den typen sosial manipulering. Selv statstilknyttede grupper som Forest Blizzard (Fancy Bear) og Emerald Sleet har angivelig brukt store språkmodeller for å etterligne offisielle dokumenter og fremskynde sårbarhetsforskning.
JadePuffer er et skritt videre enn alt dette. I stedet for å bruke AI til å skrive et skript eller en phishing-e-post, pekte angriperen en autonom agent mot et mål og lot den kjøre operasjonen. The Hacker News, BleepingComputerog CyberScoopkombinerte kampanjen to kjente feil for å komme inn: en uautentisert ekstern kodekjøringsfeil i Langflow, et åpen kildekode-rammeverk for å bygge LLM-applikasjoner (CVE-2025-3248), og en autentiseringsomgåelse i Nacos (CVE-2021-29441). Langflow-feilen hadde blitt oppdatert siden april 2025 og satt på CISA sin liste over kjente utnyttede sårbarheter, men internettvendte forekomster var fortsatt eksponert.
Derfra utførte ikke agenten bare et skript, den resonnerte seg gjennom operasjonen i naturlig språk, og fortalte sin egen målretting.cisioner hele veien: rekognosering, tyveri av legitimasjon, lateral bevegelse, persistens, privilegieeskalering og kryptering. CyberScoops rapportering er nøye med å bemerke at agenten ikke fullførte hvert eneste trinn uten hjelp, men den komprimerte det som normalt ville ta en dyktig operatør timer til minutter. Når noe feilet, justerte det seg uten å vente på et menneske: i ett dokumentert tilfelle mislyktes en login Forsøket ble rettet og forsøket ble gjort på nytt etter omtrent 31 sekunder.
Den mest avslørende detaljen er imidlertid ikke hastigheten. Det er at «løsepengene» i JadePuffer kanskje ikke kunne gjenopprettes selv om offeret hadde betalt. Sysdig fant ut at krypteringsnøkkelen ble generert fra det som i praksis var tilfeldige data, skrevet ut til terminalen, men aldri lagret eller overført noe sted der angriperen kunne hente dem senere. Agenten oppfant også en Bitcoin-lommebokadresse som ikke eksisterte. Samlet sett kjørte ikke JadePuffer et fungerende utpressingssystem, det ødela data og etterlot seg en løsepengemelding. Det er uten tvil mer nyttig for forsvarere å forstå enn selve automatiseringen: en AI-agent som kjeder sammen løsepengevirus-TTP-er garanterer ikke at den bygde noe som ligner en fungerende forretningsmodell for angripere.
JadePuffer er ikke et isolert datapunkt. Det følger Anthropics egen avsløring i august 2025 av en utpressingskampanje som brukte Claude Code-verktøyet deres til å ramme minst 17 organisasjoner, og en avsløring i november 2025 av det selskapet kalte et stort sett autonomt cyberangrep utført av en statsrelatert gruppe med minimal menneskelig styring. Sikkerhetsforskere hos Trend Micro hadde allerede kalt 2026 «året for AI-assistert løsepengevirus». JadePuffer er øyeblikket som sluttet å være en spådom.
Hvis du vil ha et fullstendig bilde av hvordan AI omformer angrepsflaten, ikke bare løsepengevirus, er dette verdt de neste fem minuttene:
Hvorfor dette er viktig selv om du ikke er målet for det neste ransomware-angrepet
Tre ting om agentisk ransomware burde bekymre forsvarere mer enn selve overskriften:
- Ferdighetnivået synker stadig. RaaS betydde allerede at en angriper ikke trengte å skrive ransomware. Agentisk AI betyr at de i økende grad heller ikke trenger å kjøre angrepet. Å leie en agent er billigere og raskere enn å rekruttere en dyktig partner.
- Inngangspunktet er din egen AI-stack. JadePuffer brøt seg ikke inn gjennom en phishing-e-post. Den brøt seg inn gjennom et uoppdatert AI-applikasjonsrammeverk, akkurat den typen verktøy som utviklings- og datateam raskt setter opp, ofte utenfor sikkerhetsteamenes synlighet.
- Angrepet beveger seg i maskinhastighet. En agent som fikser sine egne feil. login på 31 sekunder venter ikke på at en menneskelig partner skal våkne og prøve igjen i morgen. Deteksjonsvinduer som antok et menneskelig tempo gjelder ikke lenger.
Ingenting av dette endrer det grunnleggende for respons på løsepengevirus. Storbritannias nasjonale cybersikkerhetssenter er entydig på det punktet: ikke betal, fordi betaling ikke garanterer at dataene dine blir tilbake, fjerner ikke infeksjonen, og gjør deg til et mer attraktivt mål for gjentatte forsøk. NCSCs kjerneråd, offline sikkerhetskopier, en hendelsesresponsplan og kontinuerlig overvåking, er fortsatt grunnlaget. Det agentisk AI endrer er hvor mye rullebane det grunnlaget kjøper deg, og hvor det første fotfestet sannsynligvis vil komme fra.
Hvor AppSec-teamene faktisk burde se etter
Det praktiske skiftet for sikkerhetsteam er ikke å «kjøpe en AI-detektor». Det handler om å erkjenne at AI-agenter, AI-applikasjonsrammeverk og AI-generert kode nå er en del av angrepsflaten, ikke bare en del av forsvaret.
Det betyr å behandle noen få ting som førsteklasses risikoer snarere enn kanttilfeller:
- AI-rammeverkene dine egne team distribuerer. Langflow var ikke målet, det var døren. Ethvert internettrettet LLM-apprammeverk, agentorkestrator eller copilot-backend trenger samme patching-disiplin som et offentlig API.
- Det kodeagentene og copilotene dine har lov til å gjøre uten tilsyn. En agent som kan installere en pakke, redigere en konfigurasjonsfil eller kalle et MCP-verktøy uten at et menneske sjekker det først, er en agent som kan manipuleres til å gjøre alle tre for en angriper.
- Ondsinnede pakker som ennå ikke har en signatur. Angripere som bruker AI til å generere nye ransomware-varianter raskere, betyr også nye nyttelaster som tradisjonell, signaturbasert skadevareskanning rett og slett ikke har sett.
Dette er førcisely gapet Xygenis DevAI-agent ble bygget for å lukke: ikke en IDE-plugin som skanner kode etterpå, men en agent som sitter i utviklerens miljø og inspiserer hva andre agenter er i ferd med å gjøre før de gjør det. Det inkluderer å fange opp ondsinnede instruksjoner skjult i agentregler og konfigurasjonsfiler (inkludert usynlig Unicode som ikke vises i en pull request), avskjære pakkeinstallasjoner i sanntid for å blokkere skadelig programvare og slopsquattede lookalikes før de lander, og observere MCP-verktøyets kall for forgiftning og unormal agentoppførsel. Xygenis Tidlig varsling om skadelig programvare (MEW) oppdager skadelige pakker før en signatur finnes, noe som har direkte betydning når nyttelasten ble generert av en AI-modell for en time siden. Og fordi Xygenis ASPM I dette laget bruker den samme intelligensen på funn fra tredjepartsskannere, og sikkerhetsteam trenger ikke å rive ut eksisterende verktøy for å tette agentgapet: de utvider det de allerede har.
Agentisk ransomware er ikke en fremtidig trussel å planlegge for senere. JadePuffer har allerede skjedd. Organisasjonene som ligger i forkant av den neste, vil være de som i dag begynte å behandle sine egne AI-agenter og sin egen agentiske forsyningskjede som en del av perimeteret. Se hvordan det faktisk ser ut å behandle AI-agentene dine som en del av perimeteret:
FAQ
Hva er agentisk ransomware?
Agentisk ransomware er et ransomware-angrep der en autonom AI-agent, ikke en menneskelig operatør, utfører mesteparten av angrepets livssyklus: rekognosering, tyveri av legitimasjon, lateral bevegelse, persistens, kryptering og til og med skriving av løsepengebrevet. Et menneske setter fortsatt målet og formålet, men AI-agenten håndterer den operative utførelsen og tilpasser seg hindringer på egenhånd.
Var JadePuffer et ekte angrep eller en forskningsdemonstrasjon?
JadePuffer var et reelt angrep, analysert av skysikkerhetsfirmaet Sysdig, som traff en produksjonsdatabase i juni 2026. Det er forskjellig fra PromptLock (også kalt Ransomware 3.0), et tidligere AI-ransomware-konsept som viste seg å være en akademisk forskningsprototype snarere enn et live-angrep i praksis.
Hvordan kom AI-agenten i JadePuffer seg inn?
Gjennom CVE-2025-3248, et uautorisert sikkerhetsproblem for ekstern kjøring av kode i Langflow, et åpen kildekode-rammeverk for å bygge LLM-applikasjoner og agentarbeidsflyter. En oppdatering hadde eksistert siden april 2025, og feilen var på CISA sin liste over kjente utnyttede sårbarheter, men internettvendte Langflow-instanser kjørte fortsatt uoppdatert.
Gjør AI det vanskeligere å stoppe ransomware-angrep?
Det endrer problemets form mer enn det endrer det grunnleggende. AI-agenter komprimerer tiden mellom første tilgang og påvirkning, siden de prøver mislykkede trinn på nytt og tilpasser seg uten å vente på et menneske. Det betyr at deteksjon og respons også må fungere i maskinhastighet. Kjerneforsvaret, å oppdatere internettvendte systemer, begrense hva agenter kan gjøre uten tilsyn og fange opp skadelige pakker før en signatur finnes, betyr mer, ikke mindre.
Bør organisasjonen min betale løsepenger hvis den blir rammet av AI-drevet løsepengevirus?
Veiledningen fra det britiske nasjonale cybersikkerhetssenteret gjelder uavhengig av om kunstig intelligens var involvert: betaling garanterer ikke at du får tilbake dataene dine, fjerner ikke infeksjonen, finansierer ytterligere kriminell aktivitet og gjør det mer sannsynlig at du blir målrettet igjen. Offline sikkerhetskopier, en hendelsesresponsplan og overvåking er fortsatt det grunnleggende forsvaret.
Hvordan kan utviklings- og sikkerhetsteam forsvare seg mot at AI-agenter brukes som en angrepsvektor?
Behandle AI-rammeverk og kodeagenter som en del av angrepsflaten: oppdater internettrettet AI-applikasjonsinfrastruktur som ethvert offentlig API, begrens hva andrepiloter og agenter kan gjøre uten menneskelig gjennomgang (installere pakker, redigere konfigurasjoner, kalle MCP-verktøy), og bruk skadevaredeteksjon som ikke er avhengig av en kjent signatur, siden AI-genererte ransomware-varianter kan være nye hver gang.
