Atakujący w 31 sekund: co pierwszy autonomiczny atak ransomware oznacza dla odzyskiwania danych

Gdy atakujący przestał potrzebować człowieka

2 lipca 2026 roku firma Sysdig, zajmująca się bezpieczeństwem chmury, opublikowała szczegóły kampanii ransomware, którą jej badacze nazwali JadePuffer — pierwszego udokumentowanego incydentu, w którym agent LLM przeprowadził cały łańcuch ataku, od pierwotnej eksploitacji aż po pozostawienie żądania okupu, w dużej mierze bez ludzkiego operatora kierującego każdym pojedynczym krokiem.

To nie kolejna historia o phishingowych e-mailach pisanych przez AI czy telefonicznych deepfake'ach głosowych — narzędziach powiązanych ze sztuczną inteligencją, które od lat są częścią dyskusji o ransomware. JadePuffer różni się rodzajowo: agent przeskanował środowisko w poszukiwaniu podatnego celu, wykorzystał lukę, przechwycił dane uwierzytelniające, przeniósł się na drugi system, eskalował własne uprawnienia, zaszyfrował dane i pozostawił żądanie okupu — po drodze adaptując się do niepowodzeń, bez czekania na instrukcje.

W BackupSec uważamy, że JadePuffer jest ważny nie tyle jako pojedynczy incydent, ile jako zapowiedź tego, co nadchodzi. To pierwszy konkretny punkt danych dla pytania, na które prędzej czy później będzie musiała odpowiedzieć każda architektura kopii zapasowych i odzyskiwania danych: co się dzieje, gdy pętla decyzyjna po drugiej stronie kurczy się z godzin do sekund?

Wewnątrz łańcucha ataku JadePuffer

Opis kampanii przygotowany przez Sysdig odtwarza łańcuch, który w zarysie powinien być znajomy — to ten sam kill chain, przed którym zespoły bezpieczeństwa bronią się od lat — z tą różnicą, że każde jego ogniwo wykonał autonomiczny agent, a nie ludzki operator:

1. Dostęp początkowy. Agent wykorzystał lukę CVE-2025-3248 — podatność na zdalne wykonanie kodu (CVSS 9.8) wynikającą z braku uwierzytelniania w Langflow, open-source'owym frameworku Pythona do budowania aplikacji LLM. Podatność była łatana od kwietnia 2025 roku i została dodana do katalogu Known Exploited Vulnerabilities agencji CISA po potwierdzeniu jej wykorzystania w rzeczywistych atakach — podręcznikowy przykład poprawki, która istniała, ale nie została zastosowana na czas.
2. Przechwytywanie danych uwierzytelniających. Po uzyskaniu dostępu agent przechwycił sekrety wyeksponowane na zaatakowanym hoście: klucze API, dane uwierzytelniające do chmury i baz danych oraz dane portfeli kryptowalutowych.
3. Utrwalenie dostępu. Agent zainstalował zadanie cron, aby co 30 minut utrzymywać kontakt z infrastrukturą command-and-control, bez konieczności ponownego nawiązywania dostępu przez człowieka po każdej sesji.
4. Ruch lateralny. Wykorzystując przechwycone dane uwierzytelniające, agent przeniósł się na drugi, odrębnie wystawiony do internetu serwer działający na MySQL i Nacos — szeroko stosowanej platformie do wykrywania usług i zarządzania konfiguracją.
5. Eskalacja uprawnień. Agent wykorzystał CVE-2021-29441 — lukę pozwalającą na obejście uwierzytelniania w Nacos — sfałszował JSON Web Token przy użyciu powszechnie znanego domyślnego klucza podpisującego i wstrzyknął konto administratora typu backdoor.
6. Skutek. Agent zaszyfrował 1342 elementy konfiguracyjne Nacos przy użyciu AES-256 i usunął powiązane schematy baz danych.
7. Wymuszenie okupu. Agent pozostawił żądanie okupu zawierające adres Bitcoin oraz adres kontaktowy ProtonMail — jedyny krok w tym łańcuchu, który zakłada, że w końcu przeczyta go człowiek.

Uczciwe zastrzeżenie

Zależy nam na precyzyjnym określeniu, co w tym kontekście oznacza słowo „autonomiczny", ponieważ jego przesadzone rozumienie osłabiłoby argument, który za chwilę przedstawimy.

Sysdig otwarcie przyznaje, że nie wie, w jaki sposób agent pierwotnie zdobył dane uwierzytelniające roota MySQL wykorzystane w kroku czwartym. To realna luka w narracji o pełnej autonomii — gdzieś w tym łańcuchu mógł być zaangażowany człowiek lub odrębny zautomatyzowany proces w sposób, którego badacze nie byli w stanie zrekonstruować. To, co Sysdig potrafi zweryfikować, to fakt, że począwszy od przechwytywania danych uwierzytelniających, agent adaptował się do niepowodzeń i ponawiał kroki bez wydawania przez ludzkiego operatora nowych instrukcji za każdym razem.

Ta różnica ma znaczenie i naszym zdaniem raczej wzmacnia argument, niż go osłabia. Nawet częściowo autonomiczny łańcuch — w którym człowiek wyznacza cel, a agent zajmuje się wszystkim od rozpoznania po skutek — eliminuje już największe źródło opóźnień w tradycyjnej operacji ransomware: czas, jaki ludzki operator spędza na zastanawianiu się, konsultacjach z przełożonym (handlerem) i decydowaniu, co zrobić dalej.

Dlaczego 31 sekund znaczy więcej, niż mogłoby się wydawać

Najbardziej konkretnym punktem danych w opisie Sysdig nie jest łączny czas trwania ataku — nie znamy zweryfikowanej wartości pokazującej, ile czasu zajęło przejście przez cały łańcuch JadePuffer od początku do końca, i celowo nie zamierzamy jej zmyślać. Zweryfikowany punkt danych, który naszym zdaniem znaczy więcej niż nagłówkowa liczba dotycząca czasu trwania, jest następujący: gdy jakiś krok się nie powiódł, agent przeszedł od nieudanego logowania do działającej poprawki w 31 sekund.

Porównajmy to z tym, jak zachowuje się ludzki operator, gdy jakiś krok się nie powiedzie. Zatrzymuje się. Ocenia sytuację na nowo. W ustrukturyzowanej operacji ransomware-as-a-service może napisać do przełożonego (handlera) i poczekać na wskazówki. Ponawia próbę w rytmie liczonym w minutach lub godzinach, czasem dopiero po zmianie dyżuru. To opóźnienie — luka między niepowodzeniem a kolejną próbą — od zawsze było jedną z niewielu rzeczy działających na korzyść obrońców. To właśnie dzięki niemu alert zgłoszony o 2 w nocy nadal może zostać przeanalizowany przez człowieka o 8 rano, bez konieczności, by incydent w tym czasie znacząco się pogorszył.

Agent, który skraca tę lukę do 31 sekund, nie tylko działa szybciej. Usuwa on założenie wpisane w niemal każdy runbook reagowania na incydenty: że między pierwszą nieudaną próbą atakującego a kolejną istnieje okno czasowe w skali ludzkiej oraz że proces detekcji i reagowania działający w podobnej, ludzkiej skali czasowej może zasadnie liczyć na interwencję w jego obrębie.

Liczby, które były prawdziwe jeszcze zanim pojawiła się AI

Infrastruktura kopii zapasowych nie stała się celem ataków z powodu agentowej AI. Była nim już wcześniej, a dane potwierdzające to poprzedzają JadePuffer o dwa lata.

• Raport Veeam 2024 Data Protection Trends Report wykazał, że 96% ataków ransomware celuje konkretnie w repozytoria kopii zapasowych, a 76% tych prób kończy się powodzeniem.
• Badanie Sophos z 2024 roku dotyczące naruszonych kopii zapasowych, oparte na danych od 2974 ofiar ransomware, wykazało, że organizacje, których kopie zapasowe zostały naruszone, płaciły medianowy koszt odzyskania danych w wysokości 3 mln USD, wobec 375 000 USD dla organizacji, których kopie zapasowe pozostały nienaruszone — różnica ośmiokrotna.

Te liczby opisują świat ludzkich atakujących, którzy już wcześniej rozumieli, że zniszczenie lub zaszyfrowanie warstwy kopii zapasowych to pojedynczy najbardziej opłacalny ruch dostępny po tym, jak operacja ransomware zdobędzie przyczółek. Agentowa AI niczego w tym rachunku nie zmienia. Zmienia natomiast to, kto — lub co — jest w stanie zrealizować to na dużą skalę, całą dobę, bez potrzeby snu, przerwy między zmianami czy oczekiwania na zgodę przełożonego (handlera) przed wypróbowaniem kolejnych danych uwierzytelniających.

Raport IBM 2026 X-Force Threat Index dodaje kontekst do tego trendu: liczba ataków rozpoczynających się od wykorzystania luk w aplikacjach wystawionych do internetu — czyli dokładnie wektora wejścia użytego przez JadePuffer — wzrosła o 44% rok do roku, a liczba aktywnych grup ransomware i grup zajmujących się wymuszeniami wzrosła o 49% rok do roku. Powierzchnia ataku rosła już wcześniej, zanim którakolwiek z tych operacji potrzebowała autonomicznego operatora.

Od okien detekcji do pewności odzyskania danych

Twierdziliśmy już wcześniej, że utrzymujące się z roku na rok wykorzystywanie podatności jako główna przyczyna źródłowa ataków ransomware to problem strukturalny, którego nie da się rozwiązać samym szybszym łataniem — luka między podatnościami znanymi a zamkniętymi jest po prostu zbyt duża i zbyt nieustannie uzupełniana, by pełna prewencja była realistyczna. JadePuffer nie zmienia tego argumentu. Zaostrza go.

Jeśli robocze założenie branży zakładało, że proces detekcji i reagowania działający w tempie człowieka może zasadnie liczyć na wykrycie włamania gdzieś pomiędzy dostępem początkowym a nieodwracalnym skutkiem, to agent samokorygujący się w 31 sekund stanowi bezpośrednie wyzwanie dla tego założenia. Odpowiedzią nie może być „wykrywać i reagować szybciej niż maszyna", ponieważ to nie jest wyścig, który obrońcy mogą zasadnie zakładać, że będą wygrywać w nieskończoność. Odpowiedź musi mieć charakter architektoniczny: sprawić, by skutek szybkiego, adaptacyjnego włamania był możliwy do przetrwania, niezależnie od tego, o ile szybszy stanie się atakujący.

Konkretnie oznacza to, że właściwości istotne dla infrastruktury kopii zapasowych i odzyskiwania danych nie zmieniają się przez to, że atakującym jest agent AI zamiast człowieka — zamiast być pożądanym celem, stają się warunkiem bezwzględnie koniecznym:

• Rozdzielenie danych uwierzytelniających i tożsamości, które nie zależy od tego, czy człowiek na czas zauważy nietypową aktywność. Jeśli dane uwierzytelniające dające dostęp do środowiska kopii zapasowych są tymi samymi, które agent może przechwycić z zaatakowanego hosta w ciągu kilku sekund, izolacja musi mieć charakter strukturalny, a nie proceduralny.
• Niezmienność (immutability), która jest zwalidowana, a nie tylko skonfigurowana. Blokada retencji, którą można po cichu wyłączyć za pomocą wystarczająco uprzywilejowanych danych uwierzytelniających, to mechanizm kontrolny zakładający, że ludzki atakujący się zawaha. Agent się nie zawaha.
• Testowanie odzyskiwania danych zakładające, że atakujący już zna Twoje środowisko. Agent JadePuffer adaptował się do nieudanych kroków w czasie rzeczywistym. Plan odzyskiwania, który był testowany wyłącznie względem jednego, oczekiwanego scenariusza awarii, to plan zaprojektowany dla wolniejszego, bardziej przewidywalnego przeciwnika niż ten, który — jak dziś wiemy — jest już możliwy.

Co to oznacza dla liderów ryzyka w przedsiębiorstwach

JadePuffer to jedna udokumentowana kampania, a nie dowód na to, że każda operacja ransomware jest teraz autonomiczna. Ustanawia jednak coś, co wcześniej było czysto teoretyczne: zdolność techniczna agenta LLM do przeprowadzenia realnego łańcucha ataku, od początku do końca, z pętlą samokorekcji mierzoną w sekundach, już istnieje i została użyta przeciwko rzeczywistemu celowi.

Dla liderów ryzyka praktyczne pytanie nie brzmi już, czy ransomware oparty na agentach stanie się bardziej powszechny — kierunek rozwoju możliwości AI jest na tyle konsekwentny, że obstawianie przeciwnego scenariusza byłoby bardziej ryzykowną pozycją. Praktyczne pytanie brzmi, czy założenia Twojej architektury odzyskiwania danych zostały zbudowane z myślą o przeciwniku działającym w tempie człowieka, czy o takim, który już nie musi w tym tempie działać.

Tu wkracza BackupSec

W BackupSec zbudowaliśmy nasze podejście wokół założenia, które JadePuffer czyni bardziej pilnym, a nie mniej aktualnym: prewencja zawiedzie, a o ostatecznym wyniku decyduje warstwa zaprojektowana tak, by przetrwać tę awarię — niezależnie od tego, jak szybko działało to, co ją spowodowało.

• ZeroMON zapewnia ciągłą obserwowalność Twojego środowiska kopii zapasowych w czasie rzeczywistym — ścieżki audytu na potrzeby analizy śledczej, wykrywanie odchyleń konfiguracji (configuration drift) oraz alerty o anomaliach w metadanych zadań tworzenia kopii zapasowych — dzięki czemu trwająca 31 sekund próba przechwycenia danych uwierzytelniających skierowana przeciwko Twojej warstwie odzyskiwania jest widoczna w momencie, gdy się dzieje, a nie odkrywana dopiero podczas analizy poincydentalnej.
• ZeroTAM zapewnia Twojemu zespołowi dedykowanego doradcę ds. bezpieczeństwa kopii zapasowych, który poddaje próbie to, czy rozdzielenie tożsamości, niezmienność i izolacja zostały zaprojektowane z myślą o atakującym działającym w tempie człowieka, czy wytrzymają starcie z takim, który adaptuje się w czasie rzeczywistym.
• ZeroPEN testuje penetracyjnie Twoją infrastrukturę kopii zapasowych tak, jak wykorzystałby ją autonomiczny agent — sondując płaszczyzny zarządzania, kontrole dostępu i ustawienia niezmienności pod kątem tej samej ścieżki łączenia danych uwierzytelniających, którą wykorzystał JadePuffer — a następnie uruchamia rzeczywiste scenariusze przywracania danych, aby udowodnić, że odzyskiwanie działa niezależnie od tego, jak doszło do włamania.

BackupSec jest wdrażany lokalnie (on-premise), łączy się z Twoimi aplikacjami do tworzenia kopii zapasowych poprzez dostęp API tylko do odczytu i nigdy nie przenosi danych kopii zapasowych poza Twoje środowisko. Pytanie, jakie stawia JadePuffer, nie brzmi, czy Twoje mechanizmy obrony są szybkie. Brzmi ono: czy Twoja architektura odzyskiwania danych w ogóle musiała zakładać, że muszą one takie być.

Porozmawiaj z BackupSec o walidacji swojej architektury odzyskiwania danych →

Niniejsza analiza opiera się na badaniu Sysdig dotyczącym kampanii JadePuffer z lipca 2026 roku, raporcie IBM 2026 X-Force Threat Index, raporcie Veeam 2024 Data Protection Trends Report oraz badaniu Sophos z 2024 roku dotyczącym naruszonych kopii zapasowych. Przedstawiona tu interpretacja i ramy analityczne są własnym opracowaniem BackupSec. Aby omówić, jak ta analiza odnosi się do Twojego konkretnego środowiska, skontaktuj się z naszym zespołem →