Dar aceasta nu este imaginea completă. Într-un interviu acordat luni publicației CyberScoop, Michael Clark, directorul senior de cercetare a amenințărilor de la Sysdig, a clarificat că un om a fost totuși foarte implicat – doar că nu în execuția tehnică. „Un om a configurat și a direcționat operațiunea, a asigurat infrastructura din spate – serverul de comandă și control, serverul de staging pentru datele furate – și a ales victima”, a spus Clark. Credențialele folosite pentru a pătrunde în baza de date a victimei, a adăugat el, nu au fost obținute de agentul AI; cineva le-a obținut separat, printr-un compromis anterior, și le-a furnizat operațiunii.
Nimic din toate acestea nu contrazice afirmația inițială a Sysdig, iar detaliile tehnice ale atacului rămân remarcabile – chiar și sălbatice. Agentul a intrat printr-o vulnerabilitate cunoscută în Langflow, un instrument open-source popular pentru construirea aplicațiilor LLM, apoi a trecut la un server MySQL de producție și a exploatat o altă breșă cunoscută pentru a obține acces de administrator. A criptat peste 1.300 de înregistrări de configurare și nu doar că a lăsat în urmă o notă de răscumpărare scrisă de el însuși, dar a inclus și o adresă Bitcoin unde putea fi trimisă răscumpărarea. Sysdig nu a dezvăluit cine a fost ținta. Tehnicile au fost destul de obișnuite, aparent, ceea ce a ieșit în evidență a fost viteza și transparența. Agentul a reparat o autentificare eșuată în 31 de secunde, narându-și propriul raționament în comentarii de cod în limbaj natural pe tot parcursul.
Un detaliu care părea inițial să încurce tabloul a fost ulterior clarificat. Clark spusese către CyberScoop că Sysdig a găsit „mai multe modele utilizate în atac”, citând chei furate pentru OpenAI, Anthropic, DeepSeek și Gemini – un limbaj care lăsa deschisă întrebarea dacă mai multe modele au alimentat activ diferite etape ale intruziunii. Întrebat să clarifice, Clark a spus TechCrunch că acele chei erau pur și simplu parte din ceea ce a furat agentul, nu o dovadă a ceea ce îl conducea. „Agentul a percheziționat hostul Langflow pentru orice valoros – chei API ale furnizorilor, credențiale cloud, portofele de criptomonede și configurații de baze de date – iar acele chei ale furnizorilor făceau parte din pradă”, a spus el prin e-mail. „Ele indică ceea ce atacatorul a considerat că merită luat, dar nu ne spun care model lua deciziile.”
În ceea ce privește modelul care conducea efectiv JadePuffer, Clark a spus că Sysdig „nu a putut identifica modelul specific care conducea agentul” și nu are vizibilitate asupra promptului său de sistem sau configurației. Teoria cercetătorului Microsoft Geoff McDonald, oferită pe LinkedIn cu câteva zile în urmă, merită reexaminată în acest context. McDonald bănuia că un model cu greutăți deschise, din care au fost eliminate straturile de siguranță, mai degrabă decât un model de frontieră, se afla în spatele atacului, bazându-se pe propria sa experiență de red-teaming care arată că straturile de siguranță ale laboratoarelor de frontieră rezistă bine. Relatarea Sysdig nu confirmă și nici nu exclude acest lucru.
Postarea lui McDonald avertiza, de asemenea, că campaniile de ransomware sunt acum limitate în primul rând de bugetul atacatorului, nu de efortul uman, ridicând posibilitatea a „mii sau zeci de mii de campanii simultane”. Această preocupare este puțin mai greu de împăcat cu ceea ce a descris Clark luni. (Dacă un om trebuie totuși să aleagă fiecare victimă, să asigure infrastructura și să obțină credențiale de bază de date pentru fiecare operațiune, acesta este un blocaj.)
De ce este important:
Acest caz demonstrează că, deși inteligența artificială poate automatiza părți semnificative ale unui atac cibernetic, factorul uman rămâne esențial în fazele de planificare și execuție strategică. Înțelegerea limitelor AI în securitate cibernetică ne ajută să ne pregătim mai bine pentru amenințări viitoare, fără a cădea în panică sau în exagerări. De asemenea, subliniază importanța securității infrastructurii și a gestionării credențialelor, deoarece chiar și cel mai avansat agent AI depinde de puncte de intrare umane.
