Slashdot informó el 2 de julio de 2026 de que investigadores de seguridad habían documentado una operación de ransomware impulsada por un agente de IA. La fuente más sólida es el informe del equipo de investigación de Sysdig, publicado el 1 de julio, que evalúa a JADEPUFFER como el primer caso documentado de "ransomware agéntico": una campaña de extorsión en la que un modelo de lenguaje grande dirigió la operación de extremo a extremo, en lugar de limitarse a ayudar a una persona a escribir scripts.
Esa distinción importa porque las técnicas individuales no eran exóticas. Sysdig afirma que el operador explotó una vulnerabilidad conocida de Langflow, reutilizó credenciales, se movió por infraestructura expuesta, estableció persistencia y destruyó datos. Lo notable es la orquestación: las cargas parecían razonar sobre los objetivos, anotar su propia intención y adaptarse después de pasos fallidos.
Qué dice Sysdig que ocurrió
Según Sysdig, JADEPUFFER obtuvo acceso inicial a una instancia de Langflow expuesta a internet mediante CVE-2025-3248, y luego usó ese entorno comprometido para buscar secretos y pivotar hacia un objetivo de base de datos en producción. Sysdig afirma que la campaña incluyó robo de credenciales, movimiento lateral, persistencia y una estrategia destructiva de extorsión contra bases de datos.
El equipo de investigación señala comportamientos que considera característicos de un agente LLM, no de una herramienta convencional dirigida por humanos. Las cargas contenían razonamiento en lenguaje natural y priorización de objetivos. En una secuencia, Sysdig dice que la operación pasó de un inicio de sesión fallido a una corrección funcional en 31 segundos tras ajustar el enfoque.
El impacto final no fue un escenario limpio de recuperación de ransomware. La cobertura de The Hacker News y BleepingComputer resume el hallazgo de Sysdig: el ataque cifró o destruyó datos de configuración respaldados por bases de datos y dejó una petición de rescate, pero la clave necesaria para recuperar los datos no quedó retenida de una forma útil para la víctima. En términos simples, pagar no garantizaba recuperar nada.
El punto débil ya era conocido
El punto de entrada es importante para los equipos defensivos porque, según Sysdig, no fue un zero-day. La National Vulnerability Database de NIST describe CVE-2025-3248 como un fallo de inyección de código en Langflow que afecta a versiones anteriores a la 1.3.0 y permite a un atacante remoto no autenticado enviar peticiones HTTP manipuladas para ejecutar código arbitrario. La entrada de NVD lista una puntuación CVSS 3.1 de 9,8 y enlaza la versión 1.3.0 de Langflow como corrección.
Esto convierte la historia de JADEPUFFER menos en un exploit mágico de IA y más en un problema de infraestructura expuesta y descuidada. Langflow es útil porque ayuda a los equipos a crear aplicaciones LLM y flujos de agentes. También es sensible porque esos entornos pueden contener claves API, credenciales cloud y accesos a bases de datos necesarios para los flujos que orquestan.
Por qué la IA cambia el perfil de riesgo
Un agente de IA no convierte las vulnerabilidades antiguas en nuevas, pero puede cambiar la economía de encadenarlas. Tradicionalmente, un atacante humano debe mantener contexto durante el reconocimiento, el descubrimiento de credenciales, los inicios de sesión fallidos, los límites de privilegios y la limpieza. La evaluación de Sysdig es que JADEPUFFER automatizó ese bucle de contexto lo suficiente como para ejecutar una operación de extorsión en varias fases sin que una persona guiara cada paso.
Eso no significa que todos los servidores de flujos de IA expuestos vayan a sufrir mañana una campaña totalmente autónoma. Sí significa que los defensores deberían asumir que los servidores de aplicaciones expuestos a internet, los almacenes de configuración mal protegidos y las rutas administrativas de bases de datos pueden ser probados a velocidad de máquina. El riesgo práctico no es solo una explotación más rápida tras una divulgación; es una adaptación más rápida cuando el primer intento falla.
Qué deberían hacer ahora los equipos
La guía inmediata es directa. Actualizar Langflow a una versión que corrija CVE-2025-3248 y no exponer directamente a internet endpoints de ejecución o validación de código. Mover claves de proveedores, credenciales cloud y contraseñas de bases de datos fuera de entornos de orquestación de IA accesibles desde la web, y llevarlas a sistemas de gestión de secretos con permisos acotados.
Sysdig también recomienda endurecer Nacos, evitar claves de firma por defecto, mantener bases de datos y cuentas administrativas fuera de internet, restringir IPs de origen en puertos de gestión y aplicar controles de salida para que un host de aplicación comprometido no pueda hacer beaconing o preparar datos libremente. Son controles convencionales, pero JADEPUFFER muestra por qué siguen importando cuando los atacantes pueden automatizar la unión entre puntos débiles.
Qué vigilar a continuación
La conclusión útil es prudencia, no pánico. La expresión "primer caso documentado" de Sysdig es una evaluación de un equipo de investigación, y otros expertos seguirán debatiendo cuánta autonomía basta para llamar agéntica a una intrusión. Aun así, la dirección es clara: la intrusión asistida por IA se está moviendo de la generación de código a la toma de decisiones operativas.
Para los equipos de seguridad, la lista de vigilancia es concreta: herramientas de flujo LLM expuestas, vulnerabilidades críticas sin parchear, credenciales almacenadas en entornos de ejecución, claves por defecto en plataformas de configuración y bases de datos accesibles desde lugares que nunca deberían ser de confianza. JADEPUFFER advierte que los atacantes quizá no necesiten una técnica nueva si un agente puede conectar de forma fiable las antiguas.