Os grupos de ransomware passaram uma década eliminando a necessidade de habilidades específicas. O modelo de ransomware como serviço colocou kits de ataque nas mãos de qualquer pessoa disposta a dividir o resgate. Agora, uma nova camada está sendo removida: a necessidade de uma pessoa sequer estar no computador.
Em junho de 2026, pesquisadores da A Sysdig documentou o que eles acreditam ser a primeira campanha de ransomware executada quase inteiramente por um agente de IA., desde o primeiro contato até a nota de resgate. Deram o nome de JadePuffer. É a prova mais clara até agora de que a questão não é mais se os agentes de IA podem automatizar ataques de ransomware. É a rapidez com que os defensores conseguem reagir.
O problema que a indústria já tinha
O ransomware não precisou de IA para se tornar um negócio em escala industrial. De acordo com Relatório de ransomware da AkamaiO modelo de ransomware como serviço (RaaS) já funciona como uma cadeia de suprimentos legítima, com desenvolvedores que criam o malware, afiliados que executam os ataques com uma divisão de lucros tão generosa quanto 90/10 e intermediários de acesso inicial que vendem pontos de acesso à rede por apenas US$ 3,000. As táticas de extorsão escalaram na mesma proporção: da extorsão simples à dupla (criptografia e vazamento de dados), à tripla (adição de pressão DDoS) e à quádrupla, em que os atacantes agora contatam os próprios clientes e parceiros da vítima para forçar o pagamento.
A maioria das organizações lida com isso da mesma maneira há anos: fazer backup dos dados, segmentar a rede e torcer para que o programa de afiliados do invasor esteja com baixo movimento. Essa já era uma aposta perdida. O custo médio de recuperação de um ataque de ransomware é de US$ 2.73 milhões e o tempo médio de inatividade é de 21 dias, e a Cybersecurity Ventures projeta um total de 43,200 ataques de ransomware por dia em todo o mundo até 2031.
A IA não cria esse problema. Ela remove o último obstáculo humano.
O que mudou: um agente de IA executou o ataque de ransomware, e não apenas o malware.
A direção que o ransomware estava tomando já era visível antes do JadePuffer. O grupo de ransomware como serviço (RaaS) FunkSec supostamente usa IA generativa para escrever código de ransomware, gerar novas variantes e executar chatbots de negociação com as vítimas, principalmente porque o grupo não possui conhecimento técnico aprofundado. Outros agentes de ameaças usam IA para redigir e-mails de phishing convincentes e realizar chamadas de phishing por voz que se fazem passar por funcionários reais, e ferramentas comuns como WormGPT, DarkGPT e FraudGPT existem especificamente para eliminar a necessidade de habilidades específicas para esse tipo de engenharia social. Até mesmo grupos ligados a governos, como Forest Blizzard (Fancy Bear) e Emerald Sleet, supostamente usaram grandes modelos de linguagem para imitar documentos oficiais e acelerar a pesquisa de vulnerabilidades.
O JadePuffer representa um avanço significativo em relação a tudo isso. Em vez de usar IA para escrever um script ou um e-mail de phishing, o atacante direcionou um agente autônomo para um alvo e o deixou executar a operação. De acordo com The Hacker News, BleepingComputer e CyberScoopA campanha combinou duas falhas conhecidas para obter acesso: uma vulnerabilidade de execução remota de código não autenticada no Langflow, um framework de código aberto para construção de aplicações LLM (CVE-2025-3248), e uma falha de segurança que permitia a evasão de autenticação no Nacos (CVE-2021-29441). A vulnerabilidade no Langflow havia sido corrigida desde abril de 2025 e permanecia em espera. CISA lista de vulnerabilidades exploradas conhecidas de A incluía, mas instâncias expostas na internet ainda estavam vulneráveis.
A partir daí, o agente não apenas executou um script, mas raciocinou sobre a operação em linguagem natural, narrando seu próprio processo de direcionamento.cisO agente realizou todo o processo: reconhecimento, roubo de credenciais, movimentação lateral, persistência, escalonamento de privilégios e criptografia. A reportagem da CyberScoop ressalta que o agente não completou cada etapa sozinho, mas reduziu em minutos o que normalmente levaria horas para um operador qualificado. Quando algo falhava, ele se ajustava automaticamente, sem esperar por intervenção humana: em um caso documentado, uma falha Conecte-se A tentativa foi corrigida e repetida com sucesso em cerca de 31 segundos.
O detalhe mais revelador, porém, não é a velocidade. É que o "resgate" no JadePuffer pode não ter sido recuperado mesmo se a vítima tivesse pago. A Sysdig descobriu que a chave de criptografia foi gerada a partir de dados praticamente aleatórios, impressos no terminal, mas nunca salvos ou transmitidos para nenhum lugar onde o atacante pudesse recuperá-los posteriormente. O agente também inventou um endereço de carteira Bitcoin que não existia. Em resumo, o JadePuffer não executou um esquema de extorsão funcional; ele destruiu dados e deixou uma nota de resgate. Isso é, sem dúvida, mais útil para os defensores entenderem do que a própria automação: um agente de IA encadeando TTPs de ransomware não garante que ele tenha construído algo que se assemelhe a um modelo de negócios funcional para atacantes.
O JadePuffer não é um caso isolado. Ele surge após a própria divulgação da Anthropic, em agosto de 2025, de uma campanha de extorsão que utilizou sua ferramenta Claude Code para atingir pelo menos 17 organizações, e após a divulgação, em novembro de 2025, do que a empresa chamou de um ciberataque amplamente autônomo realizado por um grupo ligado a um Estado com mínima intervenção humana. Pesquisadores de segurança da Trend Micro já haviam previsto 2026 como “o ano do ransomware com auxílio de IA”. O JadePuffer é o momento em que deixou de ser uma previsão.
Se você deseja ter uma visão mais completa de como a IA está remodelando a superfície de ataque, e não apenas o ransomware, vale a pena assistir a este vídeo pelos próximos cinco minutos:
Por que isso é importante mesmo se você não for o alvo do próximo ataque de ransomware?
Três aspectos do ransomware agente deveriam preocupar os defensores mais do que o próprio título:
- O nível de habilidade necessário para realizar o ataque continua caindo. O modelo RaaS já significava que um atacante não precisava mais escrever um ransomware. A IA ativa significa que, cada vez mais, eles também não precisam mais executar o ataque. Alugar um agente é mais barato e rápido do que recrutar um afiliado qualificado.
- O ponto de entrada é a sua própria infraestrutura de IA. O JadePuffer não invadiu o sistema por meio de um e-mail de phishing. Ele invadiu por meio de uma estrutura de aplicação de IA sem as devidas atualizações, exatamente o tipo de ferramenta que as equipes de desenvolvimento e de dados estão implementando rapidamente, muitas vezes fora do alcance das equipes de segurança.
- O ataque se move na velocidade da máquina. Um agente que corrige suas próprias falhas. Conecte-se Em 31 segundos, não se trata de esperar que um funcionário humano acorde e tente novamente amanhã. As janelas de detecção que pressupunham um ritmo humano já não se aplicam.
Nada disso altera os fundamentos da resposta a ransomware. O Centro Nacional de Segurança Cibernética do Reino Unido (NCSC) é inequívoco nesse ponto: não pague, porque o pagamento não garante a recuperação dos seus dados, não remove a infecção e torna você um alvo mais atraente para novos ataques. As principais recomendações do NCSC — backups offline, um plano de resposta a incidentes e monitoramento contínuo — continuam sendo a base. O que a IA ativa altera é a margem de manobra que essa base oferece e de onde provavelmente virá o primeiro ponto de apoio.
Onde as equipes de segurança de aplicativos (AppSec) deveriam estar realmente procurando.
A mudança prática para as equipes de segurança não é "comprar um detector de IA". É reconhecer que os agentes de IA, as estruturas de aplicativos de IA e o código gerado por IA agora fazem parte da superfície de ataque, e não apenas da defesa.
Isso significa tratar algumas coisas como riscos de primeira classe, em vez de casos extremos:
- As estruturas de IA que suas próprias equipes implementam. O Langflow não era o alvo, era a porta de entrada. Qualquer estrutura de aplicativo LLM voltada para a internet, orquestrador de agentes ou backend copiloto precisa da mesma disciplina de atualização que uma API pública.
- O que seus agentes de codificação e copilotos podem fazer sem supervisão. Um agente que pode instalar um pacote, editar um arquivo de configuração ou chamar uma ferramenta MCP sem que um humano verifique primeiro é um agente que pode ser manipulado para fazer todas as três coisas para um invasor.
- Pacotes maliciosos que ainda não possuem assinatura. O uso de IA por atacantes para gerar novas variantes de ransomware mais rapidamente também significa novas cargas úteis que a varredura tradicional de malware baseada em assinaturas simplesmente não detectou.
Isto é précisapenas a lacuna Agente DevAI de Xygeni Foi criado para ser eficiente: não um plugin de IDE que analisa o código posteriormente, mas um agente que se integra ao ambiente do desenvolvedor e inspeciona as ações de outros agentes antes que elas sejam executadas. Isso inclui detectar instruções maliciosas ocultas em regras de agentes e arquivos de configuração (incluindo Unicode invisível que não aparece em um ambiente de desenvolvimento). pull request), interceptando instalações de pacotes em tempo real para bloquear malware e similares obtidos por slopsquatting antes que sejam instalados, e monitorando chamadas de ferramentas MCP em busca de envenenamento e comportamento anômalo de agentes. Xygeni's Alerta antecipado de malware (MEW) Detecta pacotes maliciosos antes mesmo de existir uma assinatura, o que é crucial quando a carga útil foi gerada por um modelo de IA uma hora antes. E isso porque o Xygeni... ASPM Ao aplicar essa mesma inteligência às descobertas de scanners de terceiros, as equipes de segurança não precisam substituir as ferramentas existentes para preencher a lacuna de agentes: elas simplesmente ampliam o que já possuem.
O ransomware baseado em agentes não é uma ameaça futura para a qual se deva planejar depois. O JadePuffer já aconteceu. As organizações que se mantiverem à frente da próxima ameaça serão aquelas que começaram a tratar seus próprios agentes de IA e sua própria cadeia de suprimentos de agentes como parte do perímetro de segurança hoje. Veja como é, na prática, tratar seus agentes de IA como parte do perímetro:
Perguntas frequentes
O que é ransomware agente?
O ransomware agético é um ataque de ransomware no qual um agente de IA autônomo, e não um operador humano, executa a maior parte do ciclo de vida do ataque: reconhecimento, roubo de credenciais, movimentação lateral, persistência, criptografia e até mesmo a redação da nota de resgate. Um humano ainda define o alvo e o objetivo, mas o agente de IA lida com a execução operacional e se adapta aos obstáculos por conta própria.
JadePuffer foi um ataque real ou uma demonstração de pesquisa?
O JadePuffer foi um ataque real, analisado pela empresa de segurança em nuvem Sysdig, que atingiu um banco de dados de produção em junho de 2026. Ele é diferente do PromptLock (também chamado de Ransomware 3.0), um conceito anterior de ransomware com IA que acabou sendo um protótipo de pesquisa acadêmica, e não um ataque real.
Como o agente de IA do JadePuffer conseguiu entrar?
Através da vulnerabilidade CVE-2025-3248, que permite a execução remota de código sem autenticação no Langflow, um framework de código aberto para a construção de aplicações LLM e fluxos de trabalho de agentes. Uma correção estava disponível desde abril de 2025 e a falha estava presente. CISA lista de vulnerabilidades exploradas conhecidas de A, mas as instâncias do Langflow expostas à internet ainda estavam em execução sem as correções necessárias.
A IA torna os ataques de ransomware mais difíceis de impedir?
Isso altera a forma do problema mais do que seus fundamentos. Os agentes de IA comprimem o tempo entre o acesso inicial e o impacto, pois repetem etapas falhas e se adaptam sem depender de intervenção humana. Isso significa que a detecção e a resposta também precisam funcionar na velocidade da máquina. As principais defesas — como a aplicação de patches em sistemas expostos à internet, a limitação das ações autônomas dos agentes e a detecção de pacotes maliciosos antes mesmo da existência de uma assinatura — tornam-se ainda mais importantes.
Minha organização deve pagar um resgate se for atingida por um ransomware baseado em inteligência artificial?
As diretrizes do Centro Nacional de Segurança Cibernética do Reino Unido se aplicam independentemente do envolvimento de IA: pagar não garante a recuperação dos seus dados, não remove a infecção, financia outras atividades criminosas e aumenta a probabilidade de você ser alvo novamente. Cópias de segurança offline, um plano de resposta a incidentes e monitoramento continuam sendo a defesa básica.
Como as equipes de desenvolvimento e segurança podem se defender contra agentes de IA usados como vetor de ataque?
Considere as estruturas de IA e os agentes de codificação como parte da superfície de ataque: aplique patches na infraestrutura de aplicativos de IA expostos à internet como qualquer API pública, restrinja o que os copilotos e agentes podem fazer sem revisão humana (instalar pacotes, editar configurações, chamar ferramentas MCP) e use detecção de malware que não dependa de uma assinatura conhecida, já que as variantes de ransomware geradas por IA podem ser novas a cada vez.
