Quando o Atacante Deixou de Precisar de um Humano
Em 2 de julho de 2026, a empresa de segurança cloud Sysdig publicou detalhes de uma campanha de ransomware que os seus investigadores batizaram de JadePuffer — o primeiro incidente documentado em que um agente de LLM executou toda uma cadeia de ataque, desde a exploração inicial até à publicação de uma nota de resgate, em grande parte sem um operador humano a dirigir cada passo individual.
Esta não é mais uma história sobre e-mails de phishing escritos por IA ou chamadas de voz deepfake, o tipo de ferramentas adjacentes à IA que já fazem parte da conversa sobre ransomware há anos. O JadePuffer é diferente por natureza: o agente procurou um alvo vulnerável, explorou-o, recolheu credenciais, avançou lateralmente para um segundo sistema, escalou os seus próprios privilégios, encriptou dados e deixou uma nota de resgate — adaptando-se a falhas ao longo do caminho sem esperar por instruções.
Na BackupSec, achamos que a importância do JadePuffer reside menos no incidente em si e mais naquilo que antecipa. É o primeiro ponto de dados para uma pergunta que toda a arquitetura de backup e recuperação acabará por ter de responder: o que acontece quando o ciclo de decisão do lado adversário se comprime de horas para segundos?
Dentro da Cadeia de Ataque do JadePuffer
O relato da Sysdig sobre a campanha traça uma cadeia cujo esquema geral deverá ser familiar — é a mesma cadeia de ataque contra a qual as equipas de segurança se têm defendido há anos — exceto que foi um agente autónomo, e não um operador humano, que executou cada elo:
- Acesso inicial. O agente explorou a CVE-2025-3248, uma vulnerabilidade de execução remota de código por falta de autenticação (CVSS 9.8) no Langflow, uma framework Python de código aberto para a construção de aplicações de LLM. A vulnerabilidade tinha sido corrigida desde abril de 2025 e foi adicionada ao catálogo de Vulnerabilidades Exploradas Conhecidas (KEV) da CISA depois de confirmada a exploração em ambiente real — um caso de manual de um patch que existia mas não foi aplicado a tempo.
- Recolha de credenciais. Já dentro do sistema, o agente recolheu segredos expostos na máquina comprometida: chaves de API, credenciais de cloud e de bases de dados, e dados de carteiras de criptomoeda.
- Persistência. Instalou uma tarefa cron para manter contacto com a sua infraestrutura de comando e controlo a cada 30 minutos, sem necessitar que um humano restabelecesse o acesso após cada sessão.
- Movimento lateral. Usando as credenciais recolhidas, o agente avançou lateralmente para um segundo servidor, exposto à internet de forma independente, que executava MySQL e Nacos — uma plataforma de descoberta de serviços e configuração amplamente utilizada.
- Escalonamento de privilégios. Explorou a CVE-2021-29441, uma falha de bypass de autenticação no Nacos, forjou um JSON Web Token usando uma chave de assinatura predefinida amplamente conhecida, e injetou uma conta de administrador oculta (backdoor).
- Impacto. O agente encriptou 1342 itens de configuração do Nacos com AES-256 e eliminou os esquemas de bases de dados associados.
- Extorsão. Deixou uma nota de resgate contendo um endereço Bitcoin e um endereço de contacto ProtonMail — o único passo da cadeia que pressupõe que um humano acabará por a ler.
A Ressalva Honesta
Queremos ser precisos sobre o que "autónomo" significa aqui, porque exagerar esse ponto enfraqueceria o argumento que estamos prestes a apresentar.
A Sysdig é explícita ao afirmar que não sabe como o agente obteve originalmente as credenciais root do MySQL usadas no quarto passo. Essa é uma lacuna real na narrativa de total autonomia — algures nesta cadeia, um humano ou um processo automatizado separado pode ter estado envolvido de uma forma que os investigadores não conseguiram reconstruir. O que a Sysdig consegue verificar é que, a partir da recolha de credenciais em diante, o agente se adaptou a falhas e voltou a tentar os passos sem que um operador humano emitisse novas instruções para cada um deles.
Essa distinção é importante, e achamos que reforça o argumento em vez de o enfraquecer. Mesmo uma cadeia parcialmente autónoma — em que um humano define o objetivo e o agente trata de tudo, do reconhecimento ao impacto — já elimina a maior fonte de latência numa operação de ransomware tradicional: o tempo que um operador humano gasta a pensar, a confirmar com um responsável, e a decidir o que tentar a seguir.
Porque É Que os 31 Segundos Importam Mais do Que Parece
O ponto de dados mais concreto no relato da Sysdig não é uma duração total do ataque — não temos conhecimento de um valor verificado para quanto tempo demorou a cadeia completa do JadePuffer, do início ao fim, e deliberadamente não vamos inventar um. O ponto de dados que está verificado, e que consideramos mais relevante do que uma duração total chamativa, é este: quando um passo falhava, o agente passava de um login falhado para uma correção funcional em 31 segundos.
Compare-se isto com o comportamento de um operador humano quando um passo falha. Faz uma pausa. Reavalia. Numa operação estruturada de ransomware-as-a-service, pode enviar uma mensagem a um responsável e esperar por orientações. Tenta novamente num intervalo medido em minutos ou horas, por vezes atravessando uma mudança de turno. Essa latência — o intervalo entre a falha e a tentativa seguinte — sempre foi uma das poucas coisas a jogar a favor dos defensores. É a razão pela qual um alerta às 02h00 ainda pode ser triado por um humano às 08h00 sem que o incidente se tenha necessariamente agravado de forma dramática nesse intervalo.
Um agente que reduz esse intervalo para 31 segundos não se limita a ser mais rápido. Elimina a premissa embutida em quase todos os runbooks de resposta a incidentes: a de que existe uma janela à escala humana entre a primeira tentativa falhada de um atacante e a seguinte, e a de que um processo de deteção e resposta a operar numa escala temporal humana semelhante pode razoavelmente esperar intervir dentro dessa janela.
Os Números Que Já Eram Verdade Antes de a IA Chegar
A infraestrutura de backup não se tornou um alvo por causa da IA agêntica. Já o era, e os dados que o comprovam são anteriores ao JadePuffer em dois anos.
- O relatório Data Protection Trends Report de 2024, da Veeam, concluiu que 96% dos ataques de ransomware visam especificamente os repositórios de backup, e que 76% dessas tentativas têm sucesso.
- O estudo de 2024 da Sophos sobre backups comprometidos, com base em 2974 vítimas de ransomware, concluiu que as organizações cujos backups foram comprometidos pagaram um custo médio de recuperação de 3 milhões de dólares, contra 375 000 dólares para as organizações cujos backups permaneceram intactos — uma diferença de oito vezes.
Estes números descrevem um mundo de atacantes humanos que já compreendiam que destruir ou encriptar a camada de backup é a jogada de maior impacto disponível assim que uma operação de ransomware ganha um ponto de apoio. Nada na IA agêntica muda esse cálculo. O que muda é quem — ou o quê — é capaz de a executar em escala, a toda a hora, sem precisar de dormir, fazer uma pausa de turno, ou esperar pela aprovação de um responsável antes de tentar a credencial seguinte.
O X-Force Threat Index de 2026, da IBM, acrescenta contexto sobre a tendência subjacente a este cenário: os ataques que começam pela exploração de aplicações expostas publicamente — exatamente o vetor de entrada usado pelo JadePuffer — aumentaram 44% em termos homólogos, e o número de grupos ativos de ransomware e extorsão cresceu 49% em termos homólogos. A superfície de ataque já estava a crescer antes de qualquer parte disto precisar de um operador autónomo.
Das Janelas de Deteção à Certeza de Recuperação
Já argumentámos anteriormente que a exploração de vulnerabilidades, persistindo como a principal causa-raiz do ransomware ano após ano, é um problema estrutural que não pode ser resolvido apenas com uma correção mais rápida — o intervalo entre vulnerabilidades conhecidas e corrigidas é simplesmente demasiado grande, e continuamente reabastecido, para que a prevenção perfeita seja realista. O JadePuffer não muda esse argumento. Torna-o mais afiado.
Se a suposição de trabalho do setor tem sido a de que um processo de deteção e resposta a ritmo humano pode razoavelmente esperar apanhar uma intrusão algures entre o acesso inicial e o impacto irreversível, um agente que se autocorrige em 31 segundos é um desafio direto a essa suposição. A resposta não pode ser "detetar e responder mais depressa do que uma máquina", porque essa não é uma corrida que os defensores possam esperar continuar a ganhar indefinidamente. A resposta tem de ser arquitetural: tornar o resultado de uma intrusão rápida e adaptativa sobrevivível, independentemente da rapidez que o atacante venha a ganhar.
Em termos concretos, isto significa que as propriedades que importam para a infraestrutura de backup e recuperação não mudam pelo facto de o atacante ser um agente de IA em vez de um humano — tornam-se inegociáveis em vez de aspiracionais:
- Separação de credenciais e identidade que não dependa de um humano detetar atividade invulgar a tempo. Se as credenciais que chegam ao seu ambiente de backup forem as mesmas que um agente consegue recolher de um sistema comprometido em segundos, o isolamento tem de ser estrutural, não processual.
- Imutabilidade que é validada, não apenas configurada. Um bloqueio de retenção que uma credencial com privilégios suficientes consegue desativar discretamente é um controlo que pressupõe que um atacante humano vai hesitar. Um agente não vai.
- Testes de recuperação que pressupõem que o atacante já conhece o seu ambiente. O agente do JadePuffer adaptou-se a passos falhados em tempo real. Um plano de recuperação que só foi testado contra um único cenário de falha esperado é um plano construído para um adversário mais lento e mais previsível do que aquele que agora se demonstra possível.
O Que Isto Significa para os Líderes de Risco Empresarial
O JadePuffer é uma campanha documentada, não uma prova de que todas as operações de ransomware são agora autónomas. Mas estabelece algo que antes era teórico: a capacidade técnica de um agente de LLM executar uma cadeia de ataque real, do início ao fim, com um ciclo de autocorreção medido em segundos, existe agora e já foi usada contra um alvo real.
Para os líderes de risco, a questão prática já não é saber se o ransomware agêntico se vai tornar mais comum — a trajetória da capacidade da IA tem sido suficientemente consistente para que apostar contra ela seja a posição mais arriscada. A questão prática é saber se as premissas da sua arquitetura de recuperação foram construídas para um adversário a ritmo humano ou para um que já não precisa de o ser.
Onde a BackupSec Entra
Na BackupSec, construímos a nossa abordagem em torno de uma premissa que o JadePuffer torna mais urgente, não menos aplicável: a prevenção vai falhar, e a camada que determina o resultado é aquela construída para sobreviver à falha — independentemente da rapidez daquilo que a causou.
- O ZeroMON dá-lhe observabilidade contínua e em tempo real sobre todo o seu património de backup — trilhos de auditoria forenses, deteção de desvios de configuração, e alertas de anomalias na metadata dos trabalhos de backup — para que uma tentativa de recolha de credenciais de 31 segundos contra a sua camada de recuperação seja visível no momento em que acontece, e não descoberta numa revisão pós-incidente.
- O ZeroTAM dá à sua equipa um consultor dedicado de segurança de backup para testar sob pressão se a sua separação de identidade, imutabilidade e postura de isolamento foram concebidas para um atacante a ritmo humano ou se resistiriam a um que se adapta em tempo real.
- O ZeroPEN faz pentest à sua infraestrutura de backup da forma como um agente autónomo a exploraria — testando planos de gestão, controlos de acesso e definições de imutabilidade em busca do mesmo tipo de caminho de encadeamento de credenciais que o JadePuffer explorou — e depois executa cenários reais de restauro para provar que a recuperação funciona, independentemente de como a intrusão lá chegou.
A BackupSec é implementada on-premise, liga-se às suas aplicações de backup através de acesso de API só de leitura, e nunca move dados de backup para fora do seu ambiente. A questão que o JadePuffer levanta não é se as suas defesas são rápidas. É se a sua arquitetura de recuperação alguma vez foi construída para precisar que o fossem.
Fale com a BackupSec sobre a validação da sua arquitetura de recuperação →
Esta análise baseia-se na investigação da Sysdig de julho de 2026 sobre a campanha JadePuffer, no X-Force Threat Index de 2026 da IBM, no Data Protection Trends Report de 2024 da Veeam, e no estudo de 2024 da Sophos sobre backups comprometidos. A interpretação e o enquadramento aqui apresentados são da autoria da BackupSec. Para discutir como esta análise se aplica ao seu ambiente específico, contacte a nossa equipa →