Grupy ransomware spędziły dekadę eliminując potrzebę posiadania odpowiednich umiejętności. Ransomware jako usługa (Ransomware-as-a-Service) oddało zestawy narzędzi do przeprowadzania ataków w ręce każdego, kto zgodziłby się zapłacić okup. Teraz eliminowany jest kolejny poziom: konieczność obecności człowieka przy klawiaturze.
W czerwcu 2026 roku naukowcy z Firma Sysdig udokumentowała to, co uważa za pierwszą kampanię ransomware prowadzoną niemal w całości przez agenta AI, od pierwszego przyczółka do żądania okupu. Nazwali go JadePuffer. To jak dotąd najwyraźniejszy dowód na to, że pytanie nie brzmi już, czy agenci AI potrafią automatyzować ataki ransomware. Chodzi o to, jak szybko obrońcy nadrobią zaległości.
Problem, który branża już miała
Oprogramowanie ransomware nie potrzebowało sztucznej inteligencji, aby stać się biznesem na skalę przemysłową. Według Raport firmy Akamai dotyczący oprogramowania ransomwareModel ransomware-as-a-service (RaaS) działa już jak legalny łańcuch dostaw, z programistami tworzącymi złośliwe oprogramowanie, partnerami przeprowadzającymi ataki z podziałem zysków sięgającym nawet 90/10 oraz brokerami dostępu początkowego, którzy sprzedają przyczółki sieciowe za jedyne 3,000 dolarów. Taktyki wymuszeń eskalacji stopniowo rosną: od pojedynczego wymuszenia, przez podwójne (szyfrowanie i wyciek), po trzykrotne (dodanie presji DDoS), aż po czterokrotne, gdzie atakujący kontaktują się teraz z klientami i partnerami ofiary, aby wymusić płatność.
Większość organizacji radzi sobie z tym od lat w ten sam sposób: tworzy kopie zapasowe danych, segmentuje sieć i liczy na to, że program partnerski atakującego ma słaby miesiąc. To już i tak było przegrane. Średni koszt odzyskiwania danych po ataku ransomware wynosi 2.73 miliona dolarów, a średni czas przestoju 21 dni. Cybersecurity Ventures prognozuje, że do 2031 roku na całym świecie będzie dochodzić łącznie do 43 200 ataków ransomware dziennie.
Sztuczna inteligencja nie tworzy tego problemu. Usuwa z niego ostatnie wąskie gardło, jakim jest człowiek.
Co się zmieniło: atak ransomware przeprowadził agent AI, a nie tylko złośliwe oprogramowanie
Kierunek zmian był widoczny już przed JadePuffer. Grupa RaaS FunkSec podobno wykorzystuje generatywną sztuczną inteligencję do pisania kodu ransomware, generowania nowych wariantów i prowadzenia rozmów z ofiarami w chatbotach negocjacyjnych, głównie dlatego, że grupa nie posiada własnej, dogłębnej wiedzy technicznej. Inni aktorzy zagrożeń wykorzystują sztuczną inteligencję do tworzenia przekonujących wiadomości phishingowych i prowadzenia rozmów głosowych phishingowych podszywających się pod prawdziwych pracowników. Narzędzia takie jak WormGPT, DarkGPT i FraudGPT istnieją specjalnie po to, by wyeliminować wymagania dotyczące umiejętności wymagane do tego rodzaju socjotechniki. Nawet grupy powiązane z państwem, takie jak Forest Blizzard (Fancy Bear) i Emerald Sleet, podobno wykorzystywały duże modele językowe do naśladowania oficjalnych dokumentów i przyspieszenia badań nad lukami w zabezpieczeniach.
JadePuffer to krok dalej. Zamiast używać sztucznej inteligencji do napisania skryptu lub wysłania wiadomości phishingowej, atakujący skierował autonomicznego agenta na cel i pozwolił mu przeprowadzić operację. Według Wiadomości Hackera, BleepingComputer, CyberScoopKampania połączyła dwie znane wady, aby uzyskać dostęp: błąd umożliwiający zdalne wykonanie kodu bez uwierzytelnienia w Langflow, oprogramowaniu open source do tworzenia aplikacji LLM (CVE-2025-3248) oraz obejście uwierzytelniania w Nacos (CVE-2021-29441). Błąd Langflow został naprawiony w kwietniu 2025 roku i nadal jest w użyciu. CISLista znanych luk w zabezpieczeniach A, ale przypadki mające kontakt z Internetem i tak zostały ujawnione.
Następnie agent nie tylko wykonał skrypt, ale także przeprowadził operację w języku naturalnym, opowiadając własne, docelowe cele.cisjonów na całej drodze: rekonesans, kradzież danych uwierzytelniających, ruch boczny, uporczywość, eskalacja uprawnień i szyfrowanie. Raporty CyberScoop starannie odnotowują, że agent nie wykonał każdego kroku samodzielnie, ale skrócił to, co normalnie zajęłoby doświadczonemu operatorowi godziny, do minut. Gdy coś zawiodło, system reagował bez czekania na człowieka: w jednym udokumentowanym przypadku, awaria login próba została poprawiona i powtórzona pomyślnie po około 31 sekundach.
Najbardziej wymownym szczegółem nie jest jednak szybkość. Chodzi o to, że „okup” w JadePuffer mógł być niemożliwy do odzyskania, nawet gdyby ofiara zapłaciła. Sysdig odkrył, że klucz szyfrujący został wygenerowany z danych, które były w zasadzie losowe i wydrukowane na terminalu, ale nigdy nie zostały zapisane ani przesłane w sposób umożliwiający atakującemu ich późniejsze odzyskanie. Agent wynalazł również adres portfela Bitcoin, który nie istniał. Podsumowując, JadePuffer nie prowadził działającego systemu wymuszeń, lecz zniszczył dane i zostawił za nimi żądanie okupu. To prawdopodobnie bardziej przydatne dla obrońców niż sama automatyzacja: agent sztucznej inteligencji łączący ze sobą metody TTP ransomware nie gwarantuje, że zbudował cokolwiek przypominającego działający model biznesowy atakującego.
JadePuffer nie jest odosobnionym przypadkiem. Jest następstwem ujawnienia przez firmę Anthropic w sierpniu 2025 roku kampanii wymuszeń, w której wykorzystano narzędzie Claude Code do ataku na co najmniej 17 organizacji, oraz ujawnienia w listopadzie 2025 roku, że firma dokonała w dużej mierze autonomicznego cyberataku, przeprowadzonego przez grupę powiązaną z państwem, z minimalnym udziałem człowieka. Badacze bezpieczeństwa z Trend Micro już wcześniej nazwali rok 2026 „rokiem ransomware wspomaganego przez sztuczną inteligencję”. JadePuffer to moment, w którym przestało być przewidywaniem.
Jeśli chcesz uzyskać pełniejszy obraz tego, w jaki sposób sztuczna inteligencja zmienia powierzchnię ataku, nie tylko w kontekście oprogramowania ransomware, warto poświęcić na to pięć minut:
Dlaczego to ma znaczenie, nawet jeśli nie jesteś celem kolejnego ataku ransomware
Trzy rzeczy dotyczące ransomware opartego na agentach powinny niepokoić obrońców bardziej niż sam nagłówek:
- Poziom umiejętności stale spada. RaaS oznaczał, że atakujący nie musiał pisać ransomware. Sztuczna inteligencja agentów oznacza, że coraz częściej nie muszą oni również przeprowadzać ataku. Wynajęcie agenta jest tańsze i szybsze niż rekrutacja wykwalifikowanego partnera.
- Punktem wejścia jest Twój własny stos sztucznej inteligencji. JadePuffer nie włamał się za pomocą wiadomości phishingowej. Włamał się przez niezałatany framework aplikacji sztucznej inteligencji – dokładnie taki rodzaj narzędzi, które zespoły programistyczne i ds. danych szybko wdrażają, często poza zasięgiem widoczności zespołów ds. bezpieczeństwa.
- Atak przebiega z prędkością maszyny. Agent, który naprawia swój własny błąd login w 31 sekund nie czeka, aż ludzki partner obudzi się i spróbuje ponownie jutro. Okna detekcji zakładające ludzkie tempo nie mają już zastosowania.
Nic z tego nie zmienia podstaw reakcji na ataki ransomware. Brytyjskie Narodowe Centrum Cyberbezpieczeństwa jest w tej kwestii jednoznaczne: nie płać, ponieważ płatność nie gwarantuje odzyskania danych, nie usuwa infekcji i nie czyni Cię bardziej atrakcyjnym celem powtórnych ataków. Podstawowe zalecenia NCSC, takie jak tworzenie kopii zapasowych offline, plan reagowania na incydenty i ciągły monitoring, nadal stanowią fundament. Sztuczna inteligencja agentowa zmienia to, ile przestrzeni manewru zapewnia Ci ta baza i skąd prawdopodobnie nadejdzie pierwszy punkt zaczepienia.
Gdzie zespoły ds. bezpieczeństwa aplikacji powinny się faktycznie skupić
Praktyczna zmiana dla zespołów ds. bezpieczeństwa nie polega na „kupnie detektora AI”. Chodzi o uznanie, że agenci AI, struktury aplikacji AI i generowany przez AI kod stanowią teraz część powierzchni ataku, a nie tylko element obrony.
Oznacza to traktowanie kilku rzeczy jako ryzyk pierwszorzędnych, a nie jako przypadków skrajnych:
- Frameworki sztucznej inteligencji wdrażane przez Twoje zespoły. Langflow nie był celem, lecz drzwiami. Każdy framework aplikacji LLM z dostępem do internetu, koordynator agentów czy backend copilot wymagają takiej samej dyscypliny w zakresie poprawek, jak publiczne API.
- Co Twoi agenci i piloci kodujący mogą robić bez nadzoru? Agent, który może zainstalować pakiet, edytować plik konfiguracyjny lub wywołać narzędzie MCP bez uprzedniego sprawdzenia przez człowieka, to agent, którym można manipulować, aby wykonywał wszystkie te trzy czynności za atakującego.
- Złośliwe pakiety, które nie mają jeszcze sygnatury. Atakujący wykorzystujący sztuczną inteligencję do szybszego generowania nowych wariantów ransomware oznaczają również nowe ładunki, których tradycyjne skanowanie złośliwego oprogramowania oparte na sygnaturach po prostu nie wykryło.
To jest przedcistylko luka Agent DevAI firmy Xygeni został stworzony do działania: nie jako wtyczka IDE, która skanuje kod po wykonaniu, ale jako agent, który działa w środowisku programisty i sprawdza, co inni agenci zamierzają zrobić, zanim to zrobią. Obejmuje to wychwytywanie złośliwych instrukcji ukrytych w regułach agenta i plikach konfiguracyjnych (w tym niewidocznego Unicode, który nie pojawi się w pull request), przechwytywanie instalacji pakietów w czasie rzeczywistym w celu blokowania złośliwego oprogramowania i podobnych programów, zanim się pojawią, oraz monitorowanie wywołań narzędzia MCP pod kątem zatruwania i nieprawidłowego zachowania agenta. Wczesne ostrzeganie przed złośliwym oprogramowaniem (MEW) wykrywa złośliwe pakiety, zanim powstanie ich sygnatura, co ma bezpośrednie znaczenie, jeśli ładunek został wygenerowany przez model sztucznej inteligencji godzinę temu. A ponieważ Xygeni ASPM Ponieważ warstwa ta stosuje tę samą inteligencję także do ustaleń pochodzących ze skanerów innych firm, zespoły ds. bezpieczeństwa nie muszą usuwać istniejących narzędzi, aby zlikwidować lukę między agentami: rozszerzają one to, co już mają.
Agentowe oprogramowanie ransomware nie jest zagrożeniem, na które warto się przygotować. Atak JadePuffer już miał miejsce. Organizacje, które wyprzedzą kolejny atak, to te, które już dziś zaczęły traktować swoich agentów AI i własny łańcuch dostaw agentów jako część zabezpieczenia. Zobacz, jak w rzeczywistości wygląda traktowanie agentów AI jako części obwodu:
FAQ
Czym jest agentowy ransomware?
Agentowy ransomware to atak ransomware, w którym autonomiczny agent AI, a nie człowiek, wykonuje większość cyklu życia ataku: rozpoznanie, kradzież danych uwierzytelniających, ruch boczny, uporczywość, szyfrowanie, a nawet sporządzenie żądania okupu. Człowiek nadal wyznacza cel i zadanie, ale agent AI samodzielnie zajmuje się wykonaniem operacyjnym i adaptuje się do przeszkód.
Czy JadePuffer był prawdziwym atakiem czy demonstracją badawczą?
JadePuffer był prawdziwym atakiem, przeanalizowanym przez firmę Sysdig, specjalizującą się w bezpieczeństwie w chmurze. Atak ten zaatakował bazę danych produkcyjną w czerwcu 2026 roku. Różni się on od PromptLock (znanego również jako Ransomware 3.0), wcześniejszej koncepcji oprogramowania ransomware opartego na sztucznej inteligencji, która okazała się być prototypem badań akademickich, a nie rzeczywistym atakiem w rzeczywistości.
Jak agent AI w JadePuffer się tu dostał?
Przez CVE-2025-3248, luka umożliwiająca zdalne wykonanie kodu bez uwierzytelnienia w Langflow, oprogramowaniu open source do tworzenia aplikacji LLM i przepływów pracy agentów. Poprawka istniała od kwietnia 2025 roku, a luka była… CISA, ale instancje Langflow z dostępem do Internetu nadal działały bez zainstalowanych poprawek.
Czy sztuczna inteligencja utrudnia powstrzymanie ataków ransomware?
Zmienia to bardziej kształt problemu niż jego podstawy. Agenci AI skracają czas między pierwszym dostępem a wystąpieniem zagrożenia, ponieważ ponawiają nieudane kroki i adaptują się bez czekania na człowieka. Oznacza to, że wykrywanie i reagowanie również muszą działać z prędkością maszynową. Kluczowe mechanizmy obronne, takie jak łatanie systemów z dostępem do internetu, ograniczanie działań agentów bez nadzoru oraz wykrywanie złośliwych pakietów przed powstaniem sygnatury, mają większe, a nie mniejsze znaczenie.
Czy moja organizacja powinna zapłacić okup, jeśli padnie ofiarą ataku ransomware wykorzystującego sztuczną inteligencję?
Wytyczne brytyjskiego Narodowego Centrum Cyberbezpieczeństwa obowiązują niezależnie od tego, czy w grę wchodziła sztuczna inteligencja: zapłata nie gwarantuje odzyskania danych, nie usuwa infekcji, finansuje dalszą działalność przestępczą i zwiększa ryzyko ponownego stania się celem ataku. Podstawowymi zabezpieczeniami pozostają kopie zapasowe offline, plan reagowania na incydenty oraz monitoring.
W jaki sposób zespoły ds. rozwoju i bezpieczeństwa mogą bronić się przed wykorzystywaniem agentów AI jako wektora ataku?
Traktuj struktury sztucznej inteligencji i agentów kodujących jako część powierzchni ataku: wdrażaj poprawki do infrastruktury aplikacji sztucznej inteligencji skierowanej do Internetu, tak jak do każdego publicznego interfejsu API, ogranicz działania, które mogą wykonywać współpiloci i agenci bez nadzoru człowieka (instalowanie pakietów, edytowanie konfiguracji, wywoływanie narzędzi MCP) i korzystaj z wykrywania złośliwego oprogramowania, które nie opiera się na znanym podpisie, ponieważ warianty ransomware generowane przez sztuczną inteligencję mogą być za każdym razem nowe.
