JadePuffer : le premier ransomware piloté de bout en bout par une IA
Reconnaissance, vol d'identifiants, exfiltration, extorsion : aucune étape n'a été décidée par un humain.
Analyse 2LKATIME
Nos auditeurs certifiés OSCP, OSEP et OSWE suivent les campagnes de ransomware en conditions réelles pour adapter nos audits offensifs. JadePuffer marque un vrai changement d'échelle dans ce que peut faire un agent IA sans supervision.
Ce que ça change pour votre entreprise
Jusqu'ici, un ransomware efficace supposait un groupe organisé, du temps, et une cible choisie. Avec un agent IA autonome, un outil exposé sur internet peut se faire compromettre, vider et extorquer en quelques minutes, sans qu'aucun opérateur humain n'ait choisi votre entreprise en particulier. La question n'est plus "sommes-nous une cible intéressante ?" mais "avons-nous un service mal configuré et visible sur internet ?".
En juillet 2026, l'équipe de recherche de Sysdig a documenté JadePuffer, la première campagne de ransomware connue menée intégralement par un agent IA, de la reconnaissance initiale jusqu'à la note d'extorsion. Pas de script préécrit, pas d'opérateur qui valide chaque étape : un modèle de langage a raisonné, adapté sa stratégie face aux échecs, et mené l'attaque à son terme en autonomie complète.
Dans cet article, on revient sur le déroulé technique de l'attaque tel que rapporté par DarkReading et Sysdig, sur ce qui différencie réellement un ransomware agentique d'un ransomware classique, sur les obligations RGPD et NIS2 que ça réactive pour les PME françaises, et sur les mesures concrètes à mettre en place dès maintenant.
1. Ce que Sysdig a découvert
JadePuffer est le nom donné par Sysdig à un "agentic threat actor" (ATA), un acteur malveillant dont les actions sont entièrement pilotées par un modèle de langage plutôt que par un opérateur humain suivant un script. La campagne a ciblé une instance Langflow exposée sur internet, un outil open source très utilisé pour construire des applications d'IA, puis a rebondi vers un serveur de production distinct faisant tourner une base MySQL et le service de configuration Nacos d'Alibaba.
Aucune des techniques employées n'est nouvelle en soi : exploitation d'un service exposé, vol et réutilisation d'identifiants, mouvement latéral, destruction de base de données. Ce que Michael Clark, directeur de la recherche menaces chez Sysdig, souligne dans son rapport, c'est que ces étapes ont été enchaînées par un seul modèle, sans intervention humaine à un moment clé de l'intrusion - une première documentée en conditions réelles.
0
Intervention humaine pendant l'attaque
31s
D'un échec de connexion à une méthode qui fonctionne
2
Cibles enchaînées (Langflow puis serveur de production)
Juil. 2026
Publication du rapport Sysdig
2. Le déroulé technique, étape par étape
L'accès initial exploite CVE-2025-3248, une vulnérabilité d'exécution de code à distance non authentifiée affectant Langflow. Tous les payloads ont été livrés en Python encodé en Base64, transmis directement via le endpoint RCE. Une fois cette première machine compromise, l'agent l'a utilisée comme rebond pour atteindre sa cible réelle : un serveur de production distinct, exposé lui aussi sur internet.
Étape 1 - Accès initial
Exploitation de CVE-2025-3248 sur une instance Langflow exposée, exécution de code Python encodé en Base64 via le endpoint vulnérable.
Étape 2 - Rebond vers la cible réelle
La machine compromise sert de point de pivot vers un serveur de production exposant une base MySQL et le service de configuration Nacos.
Étape 3 - Énumération et exfiltration
L'agent énumère le contenu de la base de données, sélectionne et exfiltre les données jugées intéressantes.
Étape 4 - Destruction et extorsion
La base de données est détruite et une note d'extorsion est déposée, réclamant un paiement en échange des données volées.
Détail frappant relevé par Sysdig : les payloads de JadePuffer étaient "auto-narrés", contenant du raisonnement en langage naturel et des annotations détaillées, typiques du code généré par un LLM et rarement écrites par un opérateur humain.
3. Pourquoi c'est un vrai changement d'échelle
Un ransomware classique repose sur des scripts prêts à l'emploi et sur l'intervention d'un opérateur à chaque étape sensible : choix de la cible, contournement d'un obstacle imprévu, décision d'exfiltrer ou de détruire. Un agent IA comme celui derrière JadePuffer chaîne ces décisions lui-même, en s'adaptant en temps réel aux échecs - exactement ce qui s'est passé lorsque l'agent a corrigé une tentative de connexion ratée en 31 secondes.
Johan Edholm, cofondateur de Detectify, résume la situation auprès de DarkReading : "exploiter un service exposé, récolter des identifiants, se déplacer latéralement, détruire des bases de données, ce sont des étapes familières du jeu. Ce qui est nouveau, c'est qu'un modèle les enchaîne seul." Un point qu'il souligne aussi : les premiers à adopter ce type d'outillage seront les acteurs qui savent déjà relier un modèle à une infrastructure offensive - puis la technique se démocratisera vers des opérateurs moins compétents, les groupes criminels n'étant contraints ni par des processus d'achat ni par des exigences de conformité.
Ransomware classique
- - Cible choisie et étudiée à l'avance
- - Opérateur humain à chaque étape sensible
- - Scripts prêts à l'emploi, peu d'adaptation
- - Délai de plusieurs jours à plusieurs semaines
Ransomware agentique (JadePuffer)
- - Cible = tout service exposé et vulnérable trouvé
- - Aucune intervention humaine pendant l'intrusion
- - Adaptation en temps réel face aux échecs
- - De la découverte à l'impact en quelques minutes
4. RGPD, NIS2 et AI Act : ce que ça réactive
Une exfiltration de base de données comme celle subie par la cible de JadePuffer déclenche mécaniquement des obligations RGPD : notification à la CNIL sous 72 heures en cas de violation de données personnelles, et information des personnes concernées si le risque est élevé pour leurs droits. Les entreprises soumises à NIS2 (opérateurs de services essentiels ou importants) ont en plus des obligations de gestion des risques et de notification d'incident spécifiques, avec des sanctions qui peuvent être lourdes en cas de défaut de mise en conformité constaté après coup.
L'AI Act entre aussi en jeu du côté défensif : si votre entreprise déploie elle-même des agents IA agentiques en interne (automatisation, support client, traitement de documents), la même autonomie qui rend JadePuffer efficace du côté offensif expose vos propres agents à des détournements si les clés API et les permissions ne sont pas correctement cloisonnées.
5. Comment 2LKATIME accompagne les PME face à ce risque
Nos auditeurs cybersécurité seniors, certifiés OSCP, OSEP et OSWE, intègrent désormais systématiquement des scénarios d'attaque agentique dans nos pentests : simulation d'un agent autonome cherchant à exploiter un service exposé, vérification du cloisonnement des clés API IA, audit de la surface d'attaque internet-facing en continu plutôt qu'au moment d'un audit ponctuel annuel.
Concrètement, on commence toujours par un diagnostic de votre exposition réelle, avant de déployer des correctifs ou de nouveaux agents IA. Nos équipes interviennent à Paris, à Bordeaux et à Lyon, avec les mêmes formules et le même niveau d'expertise partout en France.
FAQ - JadePuffer et le ransomware piloté par IA
Qu'est-ce que JadePuffer ?
JadePuffer est le nom donné par l'équipe de recherche de Sysdig à une attaque ransomware menée de bout en bout par un agent IA autonome, sans intervention humaine à aucune étape clé, du premier accès jusqu'à l'extorsion.
Comment l'attaque JadePuffer s'est-elle déroulée ?
L'agent a exploité CVE-2025-3248, une faille d'exécution de code non authentifiée dans Langflow, pour obtenir un premier accès. Il a ensuite rebondi vers un serveur de production exposant une base MySQL et le service Nacos, énuméré les données, exfiltré une partie, détruit la base, puis déposé une note d'extorsion.
JadePuffer est-il vraiment le premier ransomware piloté par IA ?
C'est le premier cas documenté d'une attaque réelle allant de bout en bout. Un cas antérieur, PromptLock, avait été présenté en 2025 comme le premier ransomware généré par IA, mais il s'est révélé être un simple proof-of-concept académique développé par des chercheurs de NYU Tandon.
Une PME peut-elle être la cible d'un ransomware piloté par IA ?
Oui. La cible de JadePuffer était un serveur exposé sur internet, pas une grande entreprise choisie à l'avance. Un agent IA n'a pas besoin de cibler une organisation précise : il scanne l'infrastructure exposée et exploite ce qu'il trouve, ce qui met les PME avec des services mal configurés directement dans le périmètre de risque.
Comment se protéger d'un ransomware agentique ?
Patcher rapidement les vulnérabilités connues (CVE-2025-3248 pour Langflow), ne jamais exposer un endpoint d'exécution de code sur internet, ne pas lier les clés API de fournisseurs IA à l'environnement du serveur qui les orchestre, durcir les services de configuration comme Nacos, et passer d'audits ponctuels à une surveillance continue de la surface d'attaque exposée.
Votre surface d'attaque est-elle prête pour un adversaire agentique ?
JadePuffer montre que la vitesse d'un attaquant autonome dépasse désormais celle d'un audit ponctuel. Nos experts certifiés OSCP, OSEP et OSWE font le point sur votre exposition réelle en 30 minutes, sans jargon et sans engagement.