JADEPUFFER: quando um agente de IA executou um ataque completo sozinho

A Sysdig, empresa de segurança cloud, publicou em julho de 2026 a análise do JADEPUFFER: o primeiro ataque de ransomware documentado conduzido de ponta a ponta por um agente de IA. Este artigo é uma leitura do caso, com o recorte do que muda na prática para quem já coloca IA pra trabalhar na empresa.

Na madrugada de 1 de julho de 2026, uma empresa teve 1.342 itens de configuração de produção criptografados.

Nenhum humano digitou os comandos. Um agente de IA fez tudo.

Isso é o JADEPUFFER: o primeiro ataque de ransomware documentado conduzido de ponta a ponta por um agente de linguagem. Pesquisadores da Sysdig divulgaram a análise completa na mesma semana.

O caso muda o que empresas que já adotam IA precisam saber sobre governança.

Agente-robô de IA autônomo atacando uma torre de servidores enquanto um robô guardião bloqueia o acesso com escudo digital em cena isométrica vibrante

O que o JADEPUFFER fez, passo a passo

O ponto de entrada foi o CVE-2025-3248: uma falha no Langflow, framework open-source popular para construir apps com LLMs, que permitia execução remota de código sem autenticação.

A partir daí, o agente conduziu o ataque em duas fases.

Fase 1 (servidor Langflow):

Enumeração do host: sistema, usuário, hostname, interfaces de rede
Coleta de credenciais: APIs de LLMs (OpenAI, Anthropic, DeepSeek, Gemini), provedores cloud (AWS, GCP, Azure, Alibaba, Tencent), carteiras de criptomoeda, bancos de dados
Exploração do object store MinIO com credenciais padrão (minioadmin:minioadmin)
Dump do banco Postgres do Langflow
Instalação de persistência via crontab (beacon a cada 30 minutos)

Fase 2 (servidor de produção):

Bypass de autenticação do Alibaba Nacos via CVE-2021-29441
Criação de admin backdoor no banco do Nacos
Criptografia de 1.342 itens de configuração usando AES_ENCRYPT() do MySQL
Destruição das tabelas de configuração
Nota de resgate exigindo pagamento em Bitcoin

Chave de criptografia gerada a partir de dois UUIDs aleatórios: efêmera, irrecuperável. Quem não pagar, perde.

Robô-agente isométrico movendo-se lateralmente entre três nós de servidor brilhantes, coletando tokens de credenciais em cada ponto da rede

O detalhe que muda tudo: o agente se adaptou

Ataques automatizados existem há décadas. O que diferencia o JADEPUFFER é o comportamento adaptativo.

Às 19h34m36s UTC, o agente tentou um login. Falhou.

Às 19h35m07s UTC, 31 segundos depois, emitiu um payload corretivo com diagnóstico da falha e uma nova abordagem.

Às 19h35m18s UTC, login bem-sucedido.

Os pesquisadores chamaram isso de comportamento “plan-act-observe-adjust”. Não é um script seguindo um fluxo fixo. É um agente avaliando o resultado de cada ação e decidindo a próxima.

Teve mais. Os próprios payloads continham raciocínio em linguagem natural. O agente explicava, nos comentários do código que gerava, por que tomava cada decisão. Quando recebeu dados em XML em vez de JSON, adaptou o parser imediatamente na próxima requisição.

Isso não é automação. É um agente que pensa.

Robô isométrico analisando um diagrama de fluxo de decisão flutuante com setas de tentativa e correção em cores teal e dourado

O que isso significa para quem já usa IA na empresa

A Sysdig foi direta na conclusão:

“O piso de habilidade para ransomware caiu para o custo de rodar um agente. Se o agente usar credenciais roubadas via LLMjacking, o custo para o atacante é quase zero.”

O ataque externo é a parte óbvia. Mas existe uma implicação menos discutida para quem já adota IA internamente.

Se um agente de IA pode, sem direção humana passo a passo:

Entender o ambiente que encontra
Coletar credenciais de forma sistemática
Mover-se lateralmente entre sistemas
Adaptar a estratégia quando encontra obstáculos

Então um agente interno rodando sem governança carrega o mesmo potencial. A diferença é que ele já tem credenciais legítimas, acesso às bases de conhecimento da empresa e histórico de conversas com dados sensíveis.

O Gartner projeta que 40% dos apps enterprise vão ter agentes embarcados até o fim de 2026, contra menos de 5% em 2025. Só 17% das empresas têm agentes em produção com governança adequada hoje.

A lacuna entre adoção e governança está crescendo.

Gestores em escritório isométrico usando agentes de IA em vários dispositivos com dados fluindo sem controle centralizado em paleta âmbar e coral

A resposta não é parar de usar agentes

Bloquear o uso de IA não funciona. Quando a política é proibitiva demais, os colaboradores usam ferramentas pessoais com dados corporativos. Shadow AI.

A resposta é governança.

Na prática:

Centralizar o acesso. Um lugar para todo uso de IA, com credenciais da empresa, não credenciais pessoais. Sem isso, você não sabe o que está rodando.

Auditar cada conversa. Saber quem perguntou o quê, com quais dados, e quando. O log é o que diferencia “achamos que tá seguro” de “comprovamos que tá seguro”.

Guardrails nativos. Barreiras que bloqueiam vazamento de PII, dados de clientes e segredos de negócio antes que saiam. Não basta avisar na política de uso.

Visibilidade de padrão. Identificar quando um agente começa a agir fora do habitual. Comportamento anômalo precisa de baseline, e baseline precisa de dados históricos.

O JADEPUFFER mostrou o que agentes autônomos fazem quando não há controle. Para quem usa IA no dia a dia, a pergunta não é se um agente vai fazer algo inesperado. É se você vai saber quando isso acontecer.

Hub central isométrico com robôs-agente controlados por painel de governança com escudos e verificações em roxo e esmeralda