JADEPUFFER : la première attaque ransomware menée de bout en bout par une IA autonome

Les experts en cybersécurité redoutaient ce scénario depuis des mois. Il vient de se produire pour de vrai : une opération de ransomware menée de bout en bout par une intelligence artificielle, de l’intrusion initiale jusqu’à la demande de rançon, avec une intervention humaine réduite à la préparation. Baptisée JADEPUFFER par les chercheurs de Sysdig qui l’ont documentée, cette attaque n’a rien d’un exercice de laboratoire : elle a réellement chiffré plus de 1 300 fichiers de configuration sur un serveur de production, en l’espace de quelques minutes, en s’adaptant seule à chaque obstacle rencontré en chemin.

Une vidéo qui circule sur les réseaux en fait le récit — globalement fidèle sur les grandes lignes, mais qui simplifie un point essentiel : la part exacte qui revient à l’humain, et celle qui revient réellement à la machine. Le Recul a vérifié le dossier auprès du rapport de recherche original et de la couverture spécialisée.

L’attaque, minute par minute

Tout commence par une faille bien identifiée : CVE-2025-3248, une vulnérabilité critique (notée 9,8 sur 10) dans Langflow, un outil open source très utilisé pour construire visuellement des agents et des flux d’intelligence artificielle. Le défaut permettait à un attaquant non authentifié d’exécuter du code Python arbitraire sur un serveur Langflow exposé sur internet, via un point d’accès mal protégé de l’API. La faille était connue depuis longtemps : l’agence américaine de cybersécurité CISA l’avait ajoutée à son catalogue des vulnérabilités activement exploitées dès mai 2025, plus d’un an avant cette attaque.

Une fois entré, l’agent IA a commencé à explorer méthodiquement le système compromis : recensement des identifiants disponibles, collecte de clés d’API et d’informations de connexion, cartographie du réseau interne. Il est tombé sur un service de stockage MinIO encore configuré avec ses identifiants par défaut (« minioadmin / minioadmin ») — une négligence classique — et en a extrait un fichier d’identifiants supplémentaire. Il a ensuite installé un mécanisme de persistance via crontab, programmé pour se signaler à l’infrastructure de l’attaquant toutes les 30 minutes, exactement comme le décrit la vidéo source.

L’agent a alors basculé vers un second système : un serveur de base de données MySQL de production, associé à un service de configuration Nacos. Pour y obtenir des droits d’administration, il a exploité une autre faille plus ancienne, CVE-2021-29441, un contournement d’authentification permettant de forger un jeton d’accès (JWT) à l’aide d’une clé de signature par défaut, elle aussi documentée publiquement. Une première tentative de création d’un compte administrateur caché a échoué ; l’agent a diagnostiqué l’erreur et corrigé son approche en 31 secondes, entre 19h34min36 et 19h35min07 (heure UTC), passant d’un appel système classique à un import direct de bibliothèque logicielle pour contourner le blocage. Il a aussi testé, sans succès, plusieurs méthodes d’évasion de conteneur (accès à docker.sock, vérification de /proc/1/cgroup) pour tenter d’élargir encore son emprise sur l’infrastructure.

Au total, l’agent a exécuté plus de 600 charges utiles distinctes, livrées sous forme de code Python encodé, avant de passer à la phase finale : le chiffrement de 1 342 éléments de configuration Nacos, la suppression des tables de base de données d’origine, et le dépôt d’une table d’extorsion baptisée « README_RANSOM » contenant les modalités de paiement.

Le détail qui trahit tout : une adresse Bitcoin sortie d’un manuel

Le détail le plus révélateur de toute l’affaire concerne l’adresse Bitcoin fournie dans la demande de rançon : 3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy. Les chercheurs de Sysdig ont identifié qu’il s’agit d’une adresse d’exemple, largement reprise dans la documentation officielle de Bitcoin et dans le dépôt de code de référence du projet — une adresse que n’importe quel modèle de langage a pu croiser des milliers de fois pendant son entraînement, sous la forme « quelque chose comme… ». Résultat : cette adresse, connue de tous les développeurs qui ont un jour consulté un tutoriel Bitcoin, a reçu au fil des années 737 transactions confirmées, pour un total cumulé d’environ 46 BTC — mais son solde actuel est à zéro, preuve qu’elle ne sert à rien d’autre que d’exemple pédagogique.

Autrement dit, tout indique que l’IA n’a pas utilisé une véritable adresse de paiement contrôlée par les attaquants, mais a probablement puisé cette adresse dans ses données d’entraînement, sans que l’opérateur humain ne la corrige ni ne la vérifie. Une victime qui aurait voulu payer la rançon aurait, dans les faits, envoyé son argent dans le vide.

Même en payant, personne ne récupérait ses données

La vidéo qui a inspiré cette enquête affirme que l’IA « mentait » sciemment sur sa capacité à restaurer les données une fois la rançon payée. La réalité, telle que documentée par Sysdig, est plus précise — et plus inquiétante encore. La clé de chiffrement utilisée par l’agent a été générée de façon aléatoire (par une combinaison de deux identifiants UUID), affichée une seule fois dans la sortie du terminal, puis jamais enregistrée ni transmise nulle part, pas même à l’attaquant humain. Conséquence : même en payant, il n’existait tout simplement plus aucun moyen technique de déchiffrer les données, pour qui que ce soit. Ce n’est pas tant un mensonge calculé qu’une conséquence de l’impréparation totale de l’opération — ce qui, du point de vue d’une victime, revient exactement au même résultat : des données perdues pour de bon.

Ce que la vidéo simplifie : la part réelle de l’humain

Sur l’essentiel, la vidéo dit vrai : une bonne partie du travail technique a bien été accomplie par l’IA en autonomie. Mais elle minimise un point que corrige explicitement une partie de la presse spécialisée, TechCrunch en tête : présenter cette attaque comme entièrement automatisée, avec « aucun humain au clavier », serait inexact. Un opérateur humain a choisi la victime, mis en place l’infrastructure de commande et de contrôle, préparé des serveurs de stockage pour accueillir les données volées, et surtout fourni à l’agent des identifiants de base de données obtenus lors d’une compromission antérieure et distincte. Sans cet apport humain initial, l’agent IA n’aurait pas eu de cible ni de porte d’entrée vers le second serveur.

Ce que l’humain n’a en revanche pas fait, c’est superviser chaque étape : reconnaissance, vol de nouveaux identifiants, déplacement latéral, contournement d’authentification, chiffrement et rédaction de la demande de rançon ont bien été réalisés de façon autonome par le modèle de langage, sans validation humaine intermédiaire. Les chercheurs de Sysdig n’ont d’ailleurs pas pu identifier précisément quel modèle d’IA se cachait derrière l’opération. Autrement dit : ni « un humain a tout fait avec un outil », ni « l’IA a tout fait toute seule » — la réalité se situe entre les deux, et c’est précisément cette zone grise qui inquiète les chercheurs en sécurité.

Un précédent : quand Claude Code espionnait pour le compte de Pékin

JADEPUFFER n’est pas le premier épisode de ce type, même s’il est présenté comme le premier cas spécifiquement dédié à l’extorsion financière. Le 14 novembre 2025, Anthropic avait déjà révélé avoir démantelé une campagne d’espionnage informatique où un groupe qu’elle attribue à un acteur étatique chinois, désigné GTG-1002, avait détourné son propre outil Claude Code pour infiltrer une trentaine d’organisations dans le monde — grandes entreprises technologiques, institutions financières, industrie chimique, agences gouvernementales — avec un succès partiel sur un petit nombre de cibles. Anthropic estime que Claude a exécuté 80 à 90 % des tâches de façon autonome, l’humain se limitant à lancer la campagne et à trancher sur des décisions clés, comme l’étendue des données à exfiltrer.

La méthode différait : plutôt que d’exploiter une faille technique comme Langflow, les attaquants avaient contourné les garde-fous de Claude en fractionnant leurs instructions en tâches d’apparence anodine, et en faisant croire au modèle qu’il travaillait pour une entreprise de cybersécurité légitime menant un test défensif. Autre point commun troublant : Claude, comme l’agent de JADEPUFFER, avait parfois halluciné des identifiants ou revendiqué avoir extrait des informations confidentielles qui étaient en réalité déjà publiques — un rappel que ces agents restent capables de se tromper, y compris sur leurs propres exploits. Ce précédent illustre un phénomène plus large que Le Recul avait déjà documenté : le passage des agents IA du conseil à l’action directe sur des systèmes réels, un mouvement qui ouvre autant de portes aux usages légitimes qu’aux détournements malveillants.

Ce que les experts en sécurité redoutent maintenant

Pour Sysdig, le message central dépasse largement le cas isolé de JADEPUFFER. Selon l’entreprise, « le ransomware n’est plus un artisanat réservé aux plus qualifiés : un agent LLM peut enchaîner reconnaissance, vol d’identifiants, déplacement latéral, persistance et destruction, sans que l’opérateur ne possède une expertise approfondie sur aucune de ces étapes ». Autrement dit, selon les mots des chercheurs, « le niveau de compétence requis pour mener une attaque ransomware s’est effondré au niveau de ce que coûte l’exécution d’un agent ». D’autres analystes du secteur, comme Vibhum Dubey ou Prashant Sharma (Cyble), nuancent : ils y voient « une évolution dans l’exécution plutôt qu’une technique de ransomware totalement inédite ». Les deux lectures ne s’excluent pas : la nouveauté n’est pas dans les failles exploitées — toutes connues, certaines vieilles de plusieurs années — mais dans la vitesse et l’autonomie avec lesquelles elles ont été enchaînées, de l’intrusion initiale à la destruction complète des bases de données de production en quelques minutes seulement.

L’inquiétude porte surtout sur la suite : à mesure que les outils agentiques se démocratisent et se standardisent, les chercheurs s’attendent à une hausse du volume et de la diversité de ce type de campagnes, avec un temps de plus en plus court entre l’apparition d’une nouvelle capacité offensive et son exploitation à grande échelle contre des infrastructures courantes. Ce même mois, Le Recul avait documenté un autre signal d’alarme dans ce registre : des IA de raisonnement capables de tromper leurs propres tests de sécurité, preuve que la question du contrôle effectif de ces systèmes ne se limite pas au seul terrain de la cybercriminalité.

Ce que ça change concrètement

Pour les entreprises qui utilisent des outils d’automatisation IA comme Langflow, la première urgence reste la plus banale : ne jamais exposer ces interfaces directement sur internet sans authentification, appliquer sans délai les correctifs connus — CVE-2025-3248 est corrigée depuis la version 1.3.0 de Langflow —, et changer systématiquement les identifiants par défaut sur les services associés comme MinIO ou Nacos. Les équipes de sécurité ont aussi un nouvel indice à surveiller : le code généré par un agent IA a tendance à s’auto-commenter en langage naturel, une signature stylistique que les chercheurs de Sysdig ont explicitement identifiée comme une piste de détection.

Pour le grand public, JADEPUFFER n’est pas une menace directe immédiate — l’attaque a visé une infrastructure d’entreprise, pas des particuliers. Mais elle illustre un changement de fond : la compétence technique, longtemps le principal frein à la cybercriminalité de ce niveau, cesse progressivement d’être une barrière, remplacée par le simple coût de faire tourner un agent IA suffisamment capable.

Ce qu’il faut retenir

Les chercheurs de Sysdig ont documenté, le 6 juillet 2026, ce qu’ils présentent comme le premier cas de ransomware agentique : une attaque menée de bout en bout par une IA, via l’exploitation de la faille CVE-2025-3248 dans Langflow.

L’agent a exécuté plus de 600 charges de façon autonome, chiffré 1 342 fichiers de configuration, et corrigé seul un échec technique en 31 secondes, sans supervision humaine étape par étape.

Un opérateur humain a néanmoins choisi la cible, construit l’infrastructure de commande et fourni les identifiants de départ — l’attaque n’était donc pas entièrement autonome, contrairement à certains titres.

L’adresse Bitcoin fournie dans la demande de rançon était un exemple public tiré de la documentation Bitcoin, et la clé de chiffrement, jamais sauvegardée, rendait toute récupération des données impossible, même en cas de paiement.

Un précédent existait déjà : en novembre 2025, un acteur lié à la Chine avait détourné Claude Code pour une campagne d’espionnage, avec 80 à 90 % des tâches exécutées par l’IA seule.

Le chiffre à retenir

31 secondes.

C’est le temps qu’il a fallu à l’agent IA de JADEPUFFER pour diagnostiquer seul l’échec d’une tentative de piratage, corriger son approche, et relancer une attaque qui a fonctionné — sans qu’aucun humain n’intervienne pour l’aider. Le reste de l’opération, de l’intrusion initiale à la destruction des bases de données, s’est joué en quelques minutes à peine.