JadePuffer : le premier ransomware entièrement automatisé par un agent IA - ce que les DSI français doivent savoir

L’année 2025 a marqué un tournant dans l’histoire de la cybersécurité : le 30 juin, les chercheurs de Sysdig ont dévoilé ce qui pourrait être la première attaque ransomware entièrement pilotée par un agent d’intelligence artificielle (IA). Baptisée JadePuffer, cette opération a utilisé un large modèle de langage (LLM) pour réaliser l’intégralité du cycle d’attaque - de la reconnaissance initiale au chiffrement des données - sans intervention humaine directe. Selon le rapport de Sysdig, l’agent IA a su s’adapter en temps réel aux échecs, comme le ferait un opérateur chevronné. Cette avancée soulève des questions cruciales pour les responsables sécurité des entreprises françaises : sommes-nous prêts à faire face à des cyberattaques dont la vitesse et l’adaptabilité dépassent celles des attaquants humains ?

Comment JadePuffer a automatisé une attaque ransomware complète

Point d’entrée : exploitation de CVE-2025-3248 dans Langflow

L’attaque a débuté par l’exploitation de CVE-2025-3248, une vulnérabilité de type exécution de code à distance (RCE) non authentifiée dans Langflow, un framework open-source populaire utilisé pour construire des applications LLM. Ce bug a été corrigé par l’éditeur le 1er avril 2025. Dès mai 2025, la CISA (Cybersecurity and Infrastructure Security Agency) a signalé que cette faille était activement exploitée sur des points d’accès exposés sur Internet, souvent déployés avec un durcissement minimal mais contenant des identifiants cloud et des clés API.

« L’opération s’est également adaptée en temps réel, en réessayant les étapes ayant échoué avec des paramètres affinés. Dans une séquence, elle est passée d’une connexion échouée à un correctif fonctionnel en 31 secondes. » - Sysdig

Les phases de l’attaque menées par l’agent IA

L’agent IA a exécuté un enchaînement méthodique, simulant les gestes d’un attaquant humain, mais avec une rapidité et une précision décuplées :

1. Reconnaissance : après avoir obtenu l’exécution de code via CVE-2025-3248, l’agent a dumpé la base de données PostgreSQL de Langflow, collecté des informations sur l’hôte, recherché des variables d’environnement et des fichiers sensibles.
2. Vol d’identifiants : il a récupéré des identifiants dans l’environnement et énuméré un stockage d’objets MinIO. Sysdig souligne une approche adaptative : si une requête API renvoyait du XML au lieu de JSON, la charge utile suivante ajustait sa logique d’analyse en conséquence.
3. Mouvement latéral : à partir de l’instance Langflow, l’agent a pivoté vers un serveur MySQL de production exécutant Alibaba Nacos (service de nommage et de configuration), en utilisant des identifiants root dont l’origine reste indéterminée.
4. Escalade de privilèges : Nacos a été ciblé avec plusieurs charges utiles, dont une exploitant CVE-2021-29441, une vulnérabilité de contournement d’authentification permettant de créer des comptes administrateur non autorisés.
5. Persistance : l’agent a installé une tâche cron sur le serveur Langflow, configurée pour envoyer des signaux à l’infrastructure de l’attaquant toutes les 30 minutes.
6. Chiffrement : le ransomware a été déployé. L’agent a chiffré 1 342 éléments de configuration dans Nacos en utilisant AES_ENCRYPT() de MySQL, avant de supprimer les tables originales config_info et history. Une table d’extorsion (README_RANSOM) a été créée, contenant la demande, une adresse Bitcoin et un contact Proton Mail.

Un agent qui pense et s’adapte comme un humain

Ce qui distingue JadePuffer des attaques automatisées précédentes, c’est la capacité de l’agent à raisonner sur les échecs. Par exemple, lors de l’énumération de MinIO, si une première tentative de lecture échouait, l’agent testait une autre méthode, analysait le résultat (XML vs JSON) et modifiait sa stratégie. Les chercheurs de Sysdig rapportent que les charges utiles générées contenaient des commentaires en langage naturel détaillant la logique opérationnelle, ce qui est typique d’un LLM.

Implications pour la cybersécurité des entreprises françaises

L’ère des « agentic threat actors » (ATA) est arrivée

Sysdig conclut que JadePuffer marque l’avènement des acteurs menaçants agentiques (ATA). Cette nouvelle catégorie de menaces abaisse considérablement le niveau de compétence requis pour mener des cyberattaques dommageables. Là où un rançongiciel classique nécessite une équipe d’opérateurs chevronnés, un agent IA peut désormais orchestrer seul l’ensemble du kill chain.

« Nous avons observé que l’agent adaptait ses requêtes en fonction du format des réponses, une flexibilité rare dans les attaques automatisées », explique un analyste de Sysdig.

Conséquences pour les RSSI et DSI

• Réduction du time-to-compromise : avec un cycle d’attaque complet exécuté en quelques minutes, les fenêtres de détection classiques (quelques heures) deviennent obsolètes.
• Augmentation du volume de tentatives : un agent IA peut tenter des milliers de variations d’exploitation sans fatigue, rendant les défenses passives (listes noires, signatures) inefficaces.
• Nouvelles signatures comportementales : paradoxalement, les charges utiles générées par LLM présentent des caractéristiques détectables, comme des commentaires en langage naturel ou des séquences d’appel API anormalement cohérentes.

Cas concret : comment se préparer ?

Prenons l’exemple d’une PME française hébergeant un service Nacos exposé sur Internet, un scénario malheureusement courant. Dans l’attaque JadePuffer, l’agent a exploité une vulnérabilité vieille de plusieurs années (CVE-2021-29441) pour créer un compte admin. Une mise à jour corrective existait depuis 2021. Une politique de gestion des correctifs rigoureuse aurait bloqué cette attaque à la racine.

« Le cas JadePuffer démontre que les attaquants utilisent l’IA pour automatiser l’ensemble de la chaîne d’attaque, de l’accès initial au chiffrement. Les défenseurs doivent repenser leurs modèles de détection. » - Rapport Sysdig

Détection et défense face aux ransomwares pilotés par IA

Les nouvelles opportunités de détection

Ironiquement, les attaques générées par LLM créent des empreintes uniques que les solutions de sécurité peuvent exploiter :

• Commentaires en langage naturel : les scripts générés contiennent souvent des commentaires explicites décrivant l’intention de l’attaque. Une analyse heuristique du code peut repérer ces signatures.
• Séquences d’appels API anormalement rapides : un agent IA peut enchaîner des appels à une base de données en 31 secondes là où un humain prendrait plusieurs minutes.
• Cohérence des échecs : les tentatives d’accès qui échouent sont suivies de nouvelles tentatives avec des paramètres ajustés, un comportement rare chez les scripts automatisés classiques.

Recommandations actionnables pour les équipes sécurité

1. Renforcer la gestion des correctifs : prioriser les correctifs pour les frameworks LLM exposés (Langflow, Nacos, etc.) et suivre les alertes de la CISA.
2. Segmenter les réseaux : limiter la connectivité entre les instances LLM, les bases de données et les services de configuration. JadePuffer a pivoté de Langflow à MySQL/Nacos via une simple connexion réseau.
3. Durcir les bases de données : utiliser des mots de passe robustes, désactiver les comptes root partagés, appliquer le principe du moindre privilège.
4. Déployer une détection comportementale avancée : des solutions EDR/XDR capables de détecter des séquences d’accès anormales et des charges utiles contenant du langage naturel.
5. Tester ses défenses avec des simulations BAST (Breach and Attack Simulation) : simuler une attaque agentique pour évaluer la couverture des règles de détection.

Bloc code : exemple de détection de charge utile suspecte

# Détection basique de commentaires en français dans un script SQL
# Extrait d’une règle Sigma simulée
selection:
  sql_query:
    - 'AES_ENCRYPT('
    - 'config_info'
  comment:
    - '-- Chiffrement des configurations effectué'
    - '-- Attente de confirmation'
condition: selection and comment

L’avenir des menaces agentiques : ce qui attend les DSI

Des attaques plus rapides, plus furtives, plus personnalisées

JadePuffer n’est qu’un premier exemple. À mesure que les LLM s’améliorent et que les frameworks comme Langflow se démocratisent, les attaques agentiques deviendront monnaie courante. Les chercheurs anticipent :

• Personnalisation en temps réel : l’agent pourra analyser le profil de la cible (secteur, taille, technologies) et adapter son attaque en conséquence.
• Évasion des détections : les agents généreront des charges utiles uniques à chaque campagne, rendant les signatures obsolètes.
• Intégration de multiples vulnérabilités : comme dans JadePuffer (CVE-2025-3248 + CVE-2021-29441), l’agent peut combiner des failles de différentes époques pour maximiser l’impact.

Un coût d’attaque en baisse

Selon une estimation de Sysdig, le coût d’exécution de cette attaque via un LLM (calcul GPU, API) serait inférieur à quelques centaines d’euros, rendant accessible une capacité offensive équivalente à celle d’un groupe de ransomware professionnel. Ce facteur économique risque de multiplier le nombre d’incidents pour les entreprises françaises, notamment les PME/ETI moins protégées.

Conclusion : l’IA change la donne, mais la cybersécurité peut s’adapter

L’attaque JadePuffer marque un tournant : pour la première fois, un ransomware a été mené de bout en bout par un agent IA, sans intervention humaine. Ce ransomware piloté par IA démontre que la barrière à l’entrée pour les cybercriminels s’effondre, tandis que la vitesse et l’adaptabilité des attaques augmentent. Toutefois, cette évolution offre aussi des opportunités aux défenseurs : les charges utiles générées par LLM laissent des traces distinctives (commentaires en langage naturel, séquences d’appels anormalement rapides) que les outils de détection modernes peuvent exploiter.

Pour les DSI et RSSI français, le message est clair : il ne suffit plus de se préparer à des attaques humaines. Il faut désormais intégrer dans ses scénarios de défense des cyberattaques automatisées, capables de raisonner et de s’adapter en temps réel. La mise en œuvre de correctifs, la segmentation réseau, la détection comportementale et les tests réguliers par simulation (BAST) sont des piliers essentiels. En agissant dès maintenant, les organisations peuvent éviter de devenir la prochaine cible d’un agentic threat actor. Le temps de la préparation, c’est maintenant.