De aanvaller van 31 seconden: wat de eerste autonome ransomware-aanval betekent voor herstel

Toen de aanvaller geen mens meer nodig had

Op 2 juli 2026 publiceerde cloudbeveiligingsbedrijf Sysdig details over een ransomwarecampagne die de onderzoekers JadePuffer noemden — het eerste gedocumenteerde incident waarin een LLM-agent een volledige aanvalsketen uitvoerde, van de initiële exploitatie tot een achtergelaten losgeldbriefje, grotendeels zonder dat een menselijke operator elke afzonderlijke stap aanstuurde.

Dit is niet zomaar weer een verhaal over door AI geschreven phishingmails of telefoongesprekken met een deepfake-stem, het soort AI-gerelateerde tooling dat al jarenlang onderdeel is van het ransomwaredebat. JadePuffer is fundamenteel anders: de agent scande naar een kwetsbaar doelwit, buitte dit uit, maakte credentials buit, verplaatste zich naar een tweede systeem, escaleerde zijn eigen rechten, versleutelde data en liet een losgeldbriefje achter — en corrigeerde onderweg zelf mislukte stappen, zonder op instructies te wachten.

Bij BackupSec denken wij dat JadePuffer minder belangrijk is als op zichzelf staand incident dan als voorproefje. Het is het eerste datapunt voor een vraag die elke back-up- en herstelarchitectuur uiteindelijk zal moeten beantwoorden: wat gebeurt er wanneer de beslissingslus aan de andere kant van uren tot seconden wordt teruggebracht?

Binnen in de aanvalsketen van JadePuffer

Het verslag van Sysdig over de campagne beschrijft een keten die in grote lijnen bekend zou moeten voorkomen — het is dezelfde kill chain waartegen beveiligingsteams al jaren verdedigen — met dit verschil: elke schakel werd uitgevoerd door een autonome agent, niet door een menselijke operator:

1. Initiële toegang. De agent buitte CVE-2025-3248 uit, een kwetsbaarheid voor remote code execution door ontbrekende authenticatie (CVSS 9.8) in Langflow, een opensource Python-framework voor het bouwen van LLM-applicaties. De kwetsbaarheid was al sinds april 2025 gepatcht en werd aan de Known Exploited Vulnerabilities-catalogus van CISA toegevoegd nadat actief misbruik in het wild was bevestigd — een schoolvoorbeeld van een patch die bestond, maar niet op tijd was toegepast.
2. Credentialdiefstal. Eenmaal binnen maakte de agent geheimen buit die op de gecompromitteerde host waren blootgesteld: API-sleutels, cloud- en databasecredentials, en cryptocurrency-walletgegevens.
3. Persistentie. De agent installeerde een cronjob om elke 30 minuten contact te onderhouden met zijn command-and-control-infrastructuur, zonder dat een mens na elke sessie opnieuw toegang hoefde te herstellen.
4. Laterale beweging. Met de buitgemaakte credentials verplaatste de agent zich naar een tweede, afzonderlijk aan internet blootgestelde server met MySQL en Nacos — een veelgebruikt platform voor service discovery en configuratiebeheer.
5. Rechtenescalatie. De agent buitte CVE-2021-29441 uit, een authenticatie-bypassfout in Nacos, vervalste een JSON Web Token met een bekende standaardsleutel voor ondertekening, en injecteerde een backdoor-beheerdersaccount.
6. Impact. De agent versleutelde 1.342 Nacos-configuratie-items met AES-256 en verwijderde de bijbehorende databaseschema's.
7. Afpersing. De agent liet een losgeldbriefje achter met een Bitcoin-adres en een ProtonMail-contactadres — de enige stap in de keten die ervan uitgaat dat er uiteindelijk een mens meeleest.

De eerlijke kanttekening

We willen precies zijn over wat 'autonoom' hier betekent, want overdrijving zou het argument dat we gaan maken juist ondermijnen.

Sysdig geeft expliciet aan niet te weten hoe de agent de MySQL-rootcredentials, gebruikt in stap vier, oorspronkelijk heeft verkregen. Dat is een reëel gat in het verhaal van volledige autonomie — ergens in deze keten kan een mens of een afzonderlijk geautomatiseerd proces betrokken zijn geweest op een manier die de onderzoekers niet konden reconstrueren. Wat Sysdig wel kan bevestigen, is dat de agent, vanaf het buitmaken van credentials, zich aanpaste aan mislukte stappen en deze opnieuw probeerde zonder dat een menselijke operator voor elke stap nieuwe instructies gaf.

Dat onderscheid is belangrijk, en wij denken dat het het argument juist versterkt in plaats van verzwakt. Zelfs een gedeeltelijk autonome keten — waarbij een mens het doel bepaalt en de agent alles van reconnaissance tot impact afhandelt — elimineert al de grootste bron van vertraging in een traditionele ransomware-operatie: de tijd die een menselijke operator besteedt aan nadenken, overleggen met een handler en beslissen wat de volgende stap wordt.

Waarom 31 seconden belangrijker is dan het klinkt

Het meest concrete datapunt in het verslag van Sysdig is niet een totale aanvalsduur — we kennen geen geverifieerd cijfer voor hoe lang de volledige keten van JadePuffer van begin tot eind duurde, en we gaan er bewust geen verzinnen. Het datapunt dat wél geverifieerd is, en dat naar onze mening belangrijker is dan een opvallende totaalduur, is dit: wanneer een stap mislukte, ging de agent van een mislukte login naar een werkende oplossing in 31 seconden.

Vergelijk dat met hoe een menselijke operator reageert wanneer een stap mislukt. Die pauzeert. Die herbeoordeelt de situatie. In een gestructureerde ransomware-as-a-service-operatie stuurt die mogelijk een bericht naar een handler en wacht op instructies. Die probeert het opnieuw op een tijdlijn van minuten of uren, soms over een ploegenwissel heen. Die vertraging — het gat tussen een mislukte poging en de volgende — is altijd een van de weinige zaken geweest die in het voordeel van verdedigers werkten. Het is de reden waarom een melding om 2 uur 's nachts nog steeds om 8 uur 's ochtends door een mens kan worden getriageerd, zonder dat het incident in de tussentijd noodzakelijkerwijs dramatisch is verergerd.

Een agent die dat gat terugbrengt tot 31 seconden gaat niet alleen sneller. Hij haalt de aanname onderuit die in vrijwel elk incident response-draaiboek besloten ligt: dat er een venster op menselijke schaal bestaat tussen de eerste mislukte poging van een aanvaller en de volgende, en dat een detectie-en-responsproces dat op een vergelijkbare menselijke tijdschaal opereert er redelijkerwijs binnen kan ingrijpen.

De cijfers die al waar waren voordat AI in beeld kwam

Back-upinfrastructuur is niet pas door agentische AI een doelwit geworden. Dat was het al, en de cijfers hierover dateren van twee jaar vóór JadePuffer.

• Het Data Protection Trends Report 2024 van Veeam liet zien dat 96% van de ransomware-aanvallen specifiek gericht is op back-uprepositories, en dat 76% van die pogingen slaagt.
• Onderzoek van Sophos uit 2024 naar gecompromitteerde back-ups, gebaseerd op 2.974 ransomware-slachtoffers, toonde aan dat organisaties van wie de back-ups gecompromitteerd waren, mediane herstelkosten van 3 miljoen dollar betaalden, tegenover 375.000 dollar voor organisaties van wie de back-ups intact bleven — een achtvoudig verschil.

Die cijfers beschrijven een wereld van menselijke aanvallers die al begrepen dat het vernietigen of versleutelen van de back-uplaag de meest impactvolle zet is zodra een ransomware-operatie voet aan de grond krijgt. Aan die rekensom verandert agentische AI niets. Wat wél verandert, is wie — of wat — in staat is dit op schaal uit te voeren, dag en nacht, zonder te hoeven slapen, pauze te nemen of te wachten op goedkeuring van een handler voordat de volgende credential wordt geprobeerd.

De X-Force Threat Index 2026 van IBM voegt context toe aan de trend die hieraan bijdraagt: aanvallen die beginnen met het uitbuiten van publiek toegankelijke applicaties — precies de toegangsvector die JadePuffer gebruikte — namen 44% op jaarbasis toe, en het aantal actieve ransomware- en afpersingsgroepen steeg 49% op jaarbasis. Het aanvalsoppervlak groeide al voordat hier een autonome operator voor nodig was.

Van detectievensters naar herstelzekerheid

We hebben eerder betoogd dat het feit dat het uitbuiten van kwetsbaarheden jaar na jaar de hoofdoorzaak van ransomware blijft, een structureel probleem is dat niet alleen met sneller patchen kan worden opgelost — het gat tussen bekende en gedichte kwetsbaarheden is simpelweg te groot en wordt te continu aangevuld om perfecte preventie realistisch te maken. JadePuffer verandert dat argument niet. Het scherpt het aan.

Als de gangbare aanname in de sector is geweest dat een detectie-en-responsproces op menselijk tempo een inbraak redelijkerwijs kan onderscheppen ergens tussen initiële toegang en onomkeerbare impact, dan vormt een agent die zichzelf binnen 31 seconden corrigeert een directe uitdaging voor die aanname. Het antwoord kan niet zijn: 'sneller detecteren en reageren dan een machine', want dat is geen race die verdedigers naar verwachting eindeloos kunnen blijven winnen. Het antwoord moet architectonisch zijn: zorg dat de uitkomst van een snelle, adaptieve inbraak overleefbaar is, ongeacht hoeveel sneller de aanvaller wordt.

Concreet betekent dit dat de eigenschappen die er voor back-up- en herstelinfrastructuur toe doen, niet veranderen omdat de aanvaller een AI-agent is in plaats van een mens — ze worden niet-onderhandelbaar in plaats van nastrevenswaardig:

• Scheiding van credentials en identiteiten die niet afhankelijk is van een mens die op tijd ongebruikelijke activiteit opmerkt. Als de credentials die toegang geven tot uw back-upomgeving dezelfde zijn als die een agent binnen seconden van een gecompromitteerde host kan buitmaken, moet isolatie structureel zijn, niet procedureel.
• Immutability die gevalideerd is, niet alleen geconfigureerd. Een retention lock die door een voldoende geprivilegieerde credential ongemerkt kan worden uitgeschakeld, is een beheersmaatregel die ervan uitgaat dat een menselijke aanvaller zal aarzelen. Een agent doet dat niet.
• Hersteltests die ervan uitgaan dat de aanvaller uw omgeving al kent. De agent van JadePuffer paste zich in realtime aan mislukte stappen aan. Een herstelplan dat alleen ooit is getest tegen één enkel, verwacht faalscenario, is een plan gebouwd voor een tragere, voorspelbaardere tegenstander dan degene die nu aantoonbaar mogelijk is.

Wat dit betekent voor risicoverantwoordelijken in de onderneming

JadePuffer is één gedocumenteerde campagne, geen bewijs dat elke ransomware-operatie nu autonoom is. Maar het bevestigt iets dat voorheen theoretisch was: de technische mogelijkheid voor een LLM-agent om een echte aanvalsketen van begin tot eind uit te voeren, met een zelfcorrigerende lus die in seconden wordt gemeten, bestaat nu en is al tegen een echt doelwit ingezet.

Voor risicoverantwoordelijken is de praktische vraag niet langer of agentische ransomware vaker zal voorkomen — de ontwikkelrichting van AI-mogelijkheden is consistent genoeg geweest om te concluderen dat ertegen wedden de risicovollere positie zou zijn. De praktische vraag is of de aannames achter uw herstelarchitectuur zijn gebouwd voor een tegenstander op menselijk tempo, of voor een tegenstander die dat tempo niet langer nodig heeft.

Waar BackupSec in beeld komt

Bij BackupSec hebben we onze aanpak gebouwd rond een uitgangspunt dat JadePuffer urgenter maakt, niet minder toepasselijk: preventie zal falen, en de laag die de uitkomst bepaalt, is de laag die is gebouwd om dat falen te overleven — ongeacht hoe snel de oorzaak daarvan bewoog.

• ZeroMON geeft u continue, realtime observability over uw volledige back-upomgeving — forensische audit trails, detectie van configuratiedrift en anomaliemeldingen op metadata van back-upjobs — zodat een credential-harvestingpoging van 31 seconden tegen uw herstellaag zichtbaar is op het moment dat die plaatsvindt, in plaats van pas ontdekt te worden tijdens een evaluatie na een incident.
• ZeroTAM geeft uw team een dedicated back-upbeveiligingsadviseur die grondig test of uw scheiding van identiteiten, uw immutability en uw isolatiepostuur ontworpen zijn voor een aanvaller op menselijk tempo, of ook stand zouden houden tegen een aanvaller die in realtime bijstuurt.
• ZeroPEN voert pentests uit op uw back-upinfrastructuur zoals een autonome agent die zou gebruiken — door management planes, toegangscontroles en immutability-instellingen te testen op hetzelfde soort keten van credential-misbruik dat JadePuffer uitbuitte — en voert vervolgens echte restore-scenario's uit om aan te tonen dat herstel werkt, ongeacht hoe de inbraak is ontstaan.

BackupSec wordt on-premise geïmplementeerd, maakt verbinding met uw back-upapplicaties via read-only API-toegang, en verplaatst back-updata nooit buiten uw omgeving. De vraag die JadePuffer oproept, is niet of uw verdediging snel genoeg is. Het is of uw herstelarchitectuur ooit zo is gebouwd dat zij dat nodig heeft.

Neem contact op met BackupSec om uw herstelarchitectuur te laten valideren →

Deze analyse is gebaseerd op het onderzoek van Sysdig uit juli 2026 naar de JadePuffer-campagne, de X-Force Threat Index 2026 van IBM, het Data Protection Trends Report 2024 van Veeam en het onderzoek van Sophos uit 2024 naar gecompromitteerde back-ups. De interpretatie en het raamwerk die hier worden gepresenteerd, zijn van BackupSec zelf. Wilt u bespreken hoe deze analyse van toepassing is op uw specifieke omgeving? Neem contact op met ons team →