JadePuffer: el primer ransomware con IA que todavía necesitaba un humano para funcionar

El Cuñado dice: "ya no hace falta saber nada, el algoritmo lo hace todo"

El Cuñado dice: "¿Lo viste? Ya existe el primer ataque de ransomware 100% autónomo con IA. Los hackers ya no necesitan saber nada. Esto lo hace solo el algoritmo."

La realidad es: JadePuffer ejecutó el trabajo técnico sucio sin que nadie tecleara una sola instrucción durante el ataque. Pero un humano eligió a la víctima, montó la infraestructura de mando y control, preparó el servidor de staging y entregó las credenciales de base de datos robadas en un compromiso previo y separado. Llamarlo "100% autónomo" es cogerle la mano al hype y bailar con él.

Por qué importa saberlo: lo que ha cambiado no es que la IA pueda operar sin humanos. Lo que ha cambiado es cuánto humano necesitas para montar un ataque de este nivel. Y la respuesta ya es "poquísimo". Eso es lo que debería helarte la sangre, no la ciencia ficción de la máquina rebelde.

---

Qué pasó de verdad: la anatomía de JadePuffer

Sysdig publicó en julio de 2026 el primer caso documentado de ransomware agéntico. El nombre del actor: JadePuffer. El vector de entrada: CVE-2025-3248, un fallo de ejecución remota de código en Langflow, un framework open source para construir aplicaciones con LLMs. El parche llegó en abril de 2025. En julio de 2026, seguía siendo explotado activamente.

Desde Langflow, el agente se movió lateralmente a un servidor MySQL que corría Alibaba Nacos, una plataforma de gestión de configuración de microservicios. Usando credenciales de root de origen desconocido, Sysdig determinó que no las obtuvo el agente, llegaron de un compromiso previo, y explotando también CVE-2021-29441 en Nacos para crear cuentas de administrador rogue, el agente se hizo con el control.

Lo que vino después:

• Cifró 1.342 registros de configuración de servicios usando AES_ENCRYPT() de MySQL. BleepingComputer apunta a que el cifrado fue probablemente AES-128-ECB, no AES-256.
• Eliminó las tablas originales.
• Creó una tabla de extorsión con la nota de rescate.
• Estableció persistencia mediante un cron job que contactaba con la infraestructura del atacante cada 30 minutos.
• Ejecutó más de 600 payloads distintos sin intervención humana durante toda la intrusión.

La nota de rescate incluía una dirección Bitcoin que resultó ser un ejemplo de la documentación pública, probablemente reproducida desde los datos de entrenamiento del LLM. La dirección no era funcional ni pertenecía al atacante. Y el detalle más perturbador: la clave de cifrado se generó aleatoriamente pero no se almacenó ni se transmitió. Eso significa que aunque la víctima hubiera pagado, puede que no hubiera recuperado nada.

---

Lo que el titular no te contó: el humano detrás del agente

Aquí está el matiz que la mayoría de medios enterró en el párrafo quinto o directamente ignoró.

Michael Clark, director de amenazas de Sysdig, fue explícito con TechCrunch: un humano eligió a la víctima, aprovisionó los servidores de mando y control y staging, y proporcionó las credenciales de base de datos iniciales. Esas credenciales venían de un compromiso previo separado, no de ninguna acción del agente.

El agente ejecutó. No decidió.

Esto no es un detalle menor. Es la diferencia entre "la IA ya puede atacar sola" y "la IA ya puede ejecutar el trabajo técnico de un ataque si alguien le prepara el terreno". Son amenazas muy distintas con implicaciones muy distintas para los defensores.

"El agente realizó los pasos técnicos, pero un humano estableció el objetivo, la infraestructura y las credenciales de acceso inicial." , Michael Clark, director de amenazas en Sysdig

El modelo de IA que controló JadePuffer, por cierto, sigue sin identificarse. Sysdig encontró en el host comprometido claves de API robadas de OpenAI, Anthropic, DeepSeek y Gemini, pero Clark confirmó que eran botín del ataque, no evidencia del modelo que tomó las decisiones. Eran llaves robadas, no el motor.

Geoff McDonald, investigador de Microsoft, hipotiza que probablemente se usó un modelo de pesos abiertos con el safety training eliminado. Sus propias pruebas de red team sugieren que las capas de seguridad de los modelos frontier resistieron. Pero eso sigue siendo una hipótesis: Sysdig no pudo identificar qué modelo impulsó JadePuffer.

---

Lo que sí es nuevo: el agente que aprende sobre la marcha

Descartar JadePuffer por necesitar un humano sería tan estúpido como el titular que lo proclamó autónomo. Porque lo que el agente hizo dentro del perímetro es genuinamente relevante para los defensores.

Dos ejemplos concretos documentados por BleepingComputer:

Corrección de error en 31 segundos. El agente intentó un login y falló. En 31 segundos, diagnosticó el problema, cambió de llamadas subprocess a imports directos de librería y completó la autenticación. Sin nadie mirando. Sin intervención.

Adaptación dinámica de parsers. Cuando la API de MinIO devolvió XML en lugar del JSON esperado, el siguiente payload ya incluía la lógica de parsing para XML. El agente no se atascó. Ajustó.

Esto es lo que distingue a un agente de un script automatizado tradicional. Un script falla y para. Un agente diagnostica, adapta y sigue. La diferencia en velocidad de ejecución y resiliencia operacional es real.

Además, todos los payloads incluían comentarios en lenguaje natural explicando cada acción, una firma característica de los LLMs. Eso, paradójicamente, abre una oportunidad para los defensores: ese nivel de verborrea en el código de ataque es detectable si sabes qué buscar.

---

El dato que sí debería importarte: el coste de entrada ha caído al suelo

Aquí está la hostia que el hype de la autonomía total tapó con su ruido.

Clark lo dijo a Business Insider sin ambigüedades: el listón de habilidades técnicas para ejecutar una operación completa de ransomware ha caído al coste de correr un agente. Y si el atacante usa credenciales cloud robadas mediante LLMjacking, ese coste puede ser cercano a cero.

Piénsalo. Antes, montar un ataque de ransomware sofisticado requería conocimiento técnico especializado en múltiples dominios: explotación de vulnerabilidades, movimiento lateral, cifrado, infraestructura de mando y control, generación de notas de rescate, gestión de cobros. JadePuffer demuestra que un agente puede ejecutar la mayoría de esos pasos de forma autónoma si alguien le da el punto de partida.

El cuello de botella sigue siendo humano: elegir víctima, desplegar infraestructura, obtener credenciales iniciales. Pero ese cuello se estrecha. Geoff McDonald advierte que las campañas de ransomware podrían escalar a miles de operaciones simultáneas, limitadas principalmente por el presupuesto del atacante, no por su pericia técnica.

Sysdig aclara que JadePuffer no ha atacado a otras víctimas conocidas todavía, y que el operador no solapa con ningún grupo conocido ni con actores de estado. Pero esperan que eso cambie, precisamente porque la operación es barata de replicar.

---

La trampa del titular "sin humano al teclado"

Los medios que publicaron "el primer ataque de ransomware sin humano al teclado" no mintieron del todo. Técnicamente, durante la ejecución del ataque no había nadie tecleando comandos. Eso es cierto.

Pero "sin humano al teclado durante la ejecución" y "autónomo de principio a fin" son cosas muy distintas, y esa distinción importa para cómo los equipos de seguridad deben responder.

Si el mensaje que llega es "la IA puede atacar completamente sola", la respuesta defensiva se enfoca en detectar el comportamiento del agente durante el ataque. Eso es correcto pero incompleto.

Si el mensaje correcto es "un humano sigue siendo necesario para la fase de preparación", los defensores pueden también concentrarse en detectar la infraestructura de staging, el aprovisionamiento de servidores C2 y el uso de credenciales comprometidas antes de que el agente entre en escena. La ventana de detección es más amplia de lo que los titulares sugerían.

El agente no completó cada paso del ataque a la perfección, según Sysdig. Pero redujo significativamente la complejidad operacional y aceleró el tempo, permitiendo una ejecución más rápida que la de un atacante humano equivalente.

---

Qué deberían hacer los defensores con esto

JadePuffer ofrece pistas concretas. Sysdig señala que los payloads con comentarios en lenguaje natural son una nueva firma detectable: los sistemas de detección de comportamiento pueden aprender a identificar código de ataque que se explica a sí mismo.

El cron job de persistencia, contactando infraestructura del atacante cada 30 minutos, es detectable con monitorización de red estándar. El uso de AES_ENCRYPT() de MySQL en tablas de configuración es una anomalía que los sistemas SIEM pueden alertar.

Lo que ha cambiado para los equipos de defensa no es solo el tipo de amenaza. Es el ritmo. Un agente que corrige errores en 31 segundos y ejecuta más de 600 payloads sin parar opera a una velocidad que ningún equipo humano de respuesta a incidentes puede igualar si no tiene automatización propia. La respuesta a un ataque agéntico tiene que ser, también, agéntica.

Si te interesa cómo construir defensas contra este tipo de amenazas desde el diseño, en IA generativa en manos de atacantes: la guía que tu empresa necesita tienes la arquitectura completa de qué controlar y dónde.

---

Preguntas frecuentes

¿JadePuffer fue realmente el primer ataque de ransomware autónomo con IA?

JadePuffer es el primer caso documentado de ransomware agéntico, según Sysdig. El agente ejecutó de forma autónoma el trabajo técnico: reconocimiento, movimiento lateral, cifrado de 1.342 registros y generación de nota de rescate. Sin embargo, un humano eligió la víctima, aprovisionó la infraestructura y proporcionó las credenciales iniciales. Autónomo en ejecución técnica, no en decisión estratégica.

¿Qué modelo de IA usó JadePuffer?

No se sabe. Sysdig no pudo identificarlo. En el host comprometido se encontraron claves de API de OpenAI, Anthropic, DeepSeek y Gemini, pero eran botín robado del ataque, no evidencia del modelo que tomó las decisiones. Geoff McDonald de Microsoft hipotiza que fue un modelo de pesos abiertos con el safety training eliminado, pero Sysdig no pudo confirmarlo.

¿Puede la víctima recuperar sus datos si paga el rescate?

Probablemente no. La clave de cifrado fue generada aleatoriamente y no se almacenó ni se transmitió a la infraestructura del atacante. Además, la dirección Bitcoin en la nota de rescate era un ejemplo de documentación pública, no una dirección controlada por el atacante. Pagar no garantizaría recuperación y posiblemente no llegaría a nadie.

¿Cómo pueden los defensores detectar ataques similares a JadePuffer?

Tres señales concretas documentadas por Sysdig y BleepingComputer: payloads de ataque con comentarios en lenguaje natural explicando cada acción (firma de LLM), uso anómalo de AES_ENCRYPT() en tablas de configuración de MySQL, y tráfico de red periódico hacia infraestructura externa cada 30 minutos por un cron job de persistencia. La velocidad del agente hace imprescindible la automatización en la respuesta defensiva.