31-sekundersangriparen: Vad den första autonoma ransomware-attacken innebär för återställning

När angriparen slutade behöva en människa

Den 2 juli 2026 publicerade molnsäkerhetsföretaget Sysdig detaljer om en ransomware-kampanj som dess forskare kallade JadePuffer – den första dokumenterade incidenten där en LLM-agent genomförde en hel attackkedja, från det inledande utnyttjandet till ett kvarlämnat utpressningsmeddelande, i stort sett utan att en mänsklig operatör styrde varje enskilt steg.

Det här är inte ännu en berättelse om AI-genererade phishing-mejl eller deepfake-röstsamtal, den typen av AI-närliggande verktyg som har varit en del av ransomware-diskussionen i flera år.

JadePuffer skiljer sig till sin natur: agenten sökte efter ett sårbart mål, utnyttjade det, samlade in autentiseringsuppgifter, tog sig vidare till ett andra system, eskalerade sina egna privilegier, krypterade data och lämnade kvar ett utpressningsmeddelande – och anpassade sig efter misslyckanden längs vägen utan att vänta på instruktioner.

På BackupSec tror vi att JadePuffer är mindre viktigt som en enskild incident än som en försmak av vad som väntar. Det är den första datapunkten för en fråga som varje backup- och återställningsarkitektur förr eller senare kommer att behöva besvara: vad händer när beslutsloopen på andra sidan komprimeras från timmar till sekunder?

Inuti JadePuffers attackkedja

Sysdigs redogörelse för kampanjen kartlägger en kedja som borde kännas igen i sina huvuddrag – det är samma kill chain som säkerhetsteam har försvarat sig mot i flera år – förutom att det var en autonom agent, inte en mänsklig operatör, som utförde varje länk:

1. Initial åtkomst. Agenten utnyttjade CVE-2025-3248, en sårbarhet för fjärrkodexekvering utan krav på autentisering (CVSS 9.8) i Langflow, ett Python-ramverk med öppen källkod för att bygga LLM-applikationer. Sårbarheten hade varit patchad sedan april 2025 och lades till i CISA:s katalog över kända utnyttjade sårbarheter (KEV) efter att aktivt utnyttjande i verkligheten hade bekräftats – ett skolboksexempel på en patch som fanns men som inte hade tillämpats i tid.
2. Insamling av autentiseringsuppgifter. Väl inne samlade agenten in hemligheter som fanns exponerade på den komprometterade värden: API-nycklar, autentiseringsuppgifter för moln- och databastjänster samt data från kryptovalutaplånböcker.
3. Persistens. Den installerade ett cronjobb för att upprätthålla kontakten med sin kommando- och kontrollinfrastruktur var 30:e minut, utan att behöva en människa för att återupprätta åtkomsten efter varje session.
4. Lateral rörelse. Med hjälp av de insamlade autentiseringsuppgifterna tog sig agenten vidare till en andra, separat internetexponerad server som körde MySQL och Nacos – en allmänt använd plattform för tjänsteupptäckt och konfiguration.
5. Privilegieeskalering. Den utnyttjade CVE-2021-29441, en brist i Nacos som gjorde det möjligt att kringgå autentisering, förfalskade en JSON Web Token med hjälp av en välkänd standardnyckel för signering, och injicerade ett administratörskonto som bakdörr.
6. Skada. Agenten krypterade 1 342 konfigurationsposter i Nacos med AES-256 och tog bort de tillhörande databasschemana.
7. Utpressning. Den lämnade kvar ett utpressningsmeddelande med en Bitcoin-adress och en kontaktadress hos ProtonMail – det enda steget i kedjan som förutsätter att en människa så småningom kommer att läsa det.

Det ärliga förbehållet

Vi vill vara precisa med vad ”autonom” betyder i det här sammanhanget, eftersom en överdrift skulle undergräva det argument vi är på väg att föra fram.

Sysdig är tydliga med att man inte vet hur agenten ursprungligen fick tag på de MySQL-root-uppgifter som användes i steg fyra. Det är en verklig lucka i berättelsen om full autonomi – någonstans i kedjan kan en människa eller en separat automatiserad process ha varit inblandad på ett sätt som forskarna inte har kunnat rekonstruera. Det Sysdig faktiskt kan verifiera är att agenten, från och med insamlingen av autentiseringsuppgifter, anpassade sig efter misslyckanden och gjorde nya försök utan att en mänsklig operatör gav nya instruktioner för varje steg.

Den distinktionen spelar roll, och vi tror att den stärker argumentet snarare än försvagar det. Även en delvis autonom kedja – där en människa sätter målet och agenten sköter allt från spaning till skada – tar bort den största källan till fördröjning i en traditionell ransomware-operation: den tid en mänsklig operatör lägger på att tänka, stämma av med en hanterare och bestämma vad som ska provas härnäst.

Varför 31 sekunder betyder mer än det låter

Den mest konkreta datapunkten i Sysdigs redogörelse är inte attackens totala varaktighet – vi känner inte till någon verifierad siffra för hur lång tid hela JadePuffer-kedjan tog från början till slut, och vi tänker medvetet inte hitta på en. Den datapunkt som är verifierad, och som vi tror är viktigare än en rubrikvänlig varaktighet skulle vara, är denna: när ett steg misslyckades gick agenten från ett misslyckat inloggningsförsök till en fungerande lösning på 31 sekunder.

Jämför det med hur en mänsklig operatör beter sig när ett steg misslyckas. De pausar. De omvärderar situationen. I en strukturerad ransomware-as-a-service-verksamhet kan de skicka ett meddelande till en hanterare och vänta på instruktioner. De försöker igen på en tidsskala som mäts i minuter eller timmar, ibland över ett skiftbyte. Den fördröjningen – gapet mellan ett misslyckande och nästa försök – har alltid varit en av de få saker som spelat försvararna i händerna. Det är anledningen till att ett larm vid 2 a.m. fortfarande kan triageras av en människa vid 8 a.m., utan att incidenten nödvändigtvis har hunnit bli dramatiskt värre under tiden.

En agent som stänger det gapet till 31 sekunder rör sig inte bara snabbare. Den tar bort det antagande som ligger inbyggt i nästan varje runbook för incidenthantering: att det finns ett tidsfönster i mänsklig skala mellan en angripares första misslyckade försök och nästa, och att en detektions- och responsprocess som verkar i en liknande mänsklig tidsskala rimligen kan förvänta sig att ingripa inom det fönstret.

Siffrorna som redan var sanna innan AI dök upp

Backupinfrastruktur blev inte ett mål på grund av agentisk AI. Den var redan ett mål, och uppgifterna om detta föregår JadePuffer med två år.

• Veeams Data Protection Trends Report för 2024 visade att 96% av alla ransomware-attacker specifikt riktar sig mot backuplager, och att 76% av dessa försök lyckas.
• Sophos' forskning från 2024 om komprometterade backuper, baserad på 2 974 ransomware-offer, visade att organisationer vars backuper komprometterades betalade en medianåterställningskostnad på 3 miljoner dollar, jämfört med 375 000 dollar för organisationer vars backuper förblev intakta – en åttafaldig skillnad.

Dessa siffror beskriver en verklighet med mänskliga angripare som redan hade förstått att det enskilt mest verkningsfulla draget, när en ransomware-operation väl har fått fotfäste, är att förstöra eller kryptera backuplagret. Ingenting med agentisk AI förändrar den kalkylen. Det som förändras är vem – eller vad – som kan utföra det i stor skala, dygnet runt, utan att behöva sova, ta en skiftpaus eller vänta på godkännande från en hanterare innan nästa autentiseringsuppgift testas.

IBM:s X-Force Threat Index för 2026 ger ytterligare sammanhang kring den trendlinje som ligger bakom detta: attacker som inleds genom utnyttjande av internetexponerade applikationer – exakt den ingångsvektor som JadePuffer använde – ökade med 44% år för år, och antalet aktiva ransomware- och utpressningsgrupper ökade med 49% år för år. Attackytan växte redan innan något av detta behövde en autonom operatör.

Från detekteringsfönster till säkerställd återställning

Vi har tidigare argumenterat för att det faktum att utnyttjande av sårbarheter fortsätter att vara den främsta grundorsaken till ransomware, år efter år, är ett strukturellt problem som inte kan lösas enbart genom snabbare patchning – gapet mellan kända och åtgärdade sårbarheter är helt enkelt för stort, och fylls på för kontinuerligt, för att fullständig prevention ska vara realistisk. JadePuffer förändrar inte det argumentet. Det skärper det.

Om branschens arbetsantagande har varit att en detektions- och responsprocess i mänskligt tempo rimligen kan förväntas fånga ett intrång någonstans mellan den initiala åtkomsten och en oåterkallelig skada, är en agent som självkorrigerar på 31 sekunder en direkt utmaning mot det antagandet. Svaret kan inte vara att ”upptäcka och reagera snabbare än en maskin”, eftersom det inte är en kapplöpning som försvarare kan förvänta sig att vinna i all oändlighet. Svaret måste vara arkitektoniskt: se till att utfallet av ett snabbt, anpassningsbart intrång går att överleva – oavsett hur mycket snabbare angriparen blir.

Konkret innebär det att de egenskaper som är avgörande för backup- och återställningsinfrastruktur inte förändras för att angriparen är en AI-agent i stället för en människa – de blir obligatoriska i stället för eftersträvansvärda:

• Separation av autentiseringsuppgifter och identiteter som inte är beroende av att en människa hinner upptäcka ovanlig aktivitet i tid. Om de autentiseringsuppgifter som når er backupmiljö är samma som en agent kan samla in från en komprometterad värd på några sekunder, måste isoleringen vara strukturell, inte procedurmässig.
• Oföränderlighet som är validerad, inte bara konfigurerad. Ett retention lock som en tillräckligt priviligierad autentiseringsuppgift i tysthet kan inaktivera är en kontroll som förutsätter att en mänsklig angripare kommer att tveka. En agent gör inte det.
• Återställningstester som förutsätter att angriparen redan känner till er miljö. JadePuffers agent anpassade sig till misslyckade steg i realtid. En återställningsplan som bara någonsin testats mot ett enda, förväntat felscenario är en plan byggd för en långsammare, mer förutsägbar motståndare än den som nu bevisligen är möjlig.

Vad detta betyder för riskansvariga i företag

JadePuffer är en dokumenterad kampanj, inte ett bevis för att alla ransomware-operationer nu är autonoma. Men den bekräftar något som tidigare var teoretiskt: den tekniska förmågan hos en LLM-agent att genomföra en verklig attackkedja, från början till slut, med en självkorrigeringsloop mätt i sekunder, existerar nu och har använts mot ett verkligt mål.

För riskansvariga är den praktiska frågan inte längre om agentisk ransomware kommer att bli vanligare – utvecklingen av AI-förmåga har varit så pass konsekvent att det skulle vara den mer riskfyllda positionen att satsa emot den. Den praktiska frågan är om antagandena bakom er återställningsarkitektur byggdes för en motståndare i mänskligt tempo – eller för en som inte längre behöver vara det.

Var BackupSec kommer in

På BackupSec har vi byggt vårt tillvägagångssätt kring en premiss som JadePuffer gör mer angelägen, inte mindre tillämplig: förebyggande skydd kommer att misslyckas, och det lager som avgör utfallet är det som är byggt för att överleva misslyckandet – oavsett hur snabbt det som orsakade det rörde sig.

• ZeroMON ger er kontinuerlig observerbarhet i realtid över hela er backupmiljö – forensiska granskningsspår, upptäckt av avvikelser i konfigurationen och avvikelselarm baserat på metadata för backupjobb – så att ett 31 sekunder långt försök att samla in autentiseringsuppgifter mot ert återställningslager syns när det händer, inte upptäcks vid en granskning i efterhand.
• ZeroTAM ger ert team en dedikerad backupsäkerhetsrådgivare som stresstestar om er separation av identiteter, er oföränderlighet och ert isoleringsläge är utformade för en angripare i mänskligt tempo – eller om de skulle hålla mot en angripare som anpassar sig i realtid.
• ZeroPEN penetrationstestar er backupinfrastruktur på samma sätt som en autonom agent skulle använda den – genom att undersöka administrativa gränssnitt, åtkomstkontroller och inställningar för oföränderlighet, med fokus på samma typ av kedja av sammanlänkade autentiseringsuppgifter som JadePuffer utnyttjade – och kör sedan verkliga återställningsscenarier för att bevisa att återställningen fungerar oavsett hur intrånget skedde.

BackupSec driftsätts on-premise, ansluter till era backupapplikationer via skrivskyddad API-åtkomst, och flyttar aldrig backupdata utanför er miljö. Frågan som JadePuffer väcker är inte om ert försvar är snabbt. Det handlar om huruvida er återställningsarkitektur någonsin byggdes för att vara beroende av att försvaret är snabbt.

Prata med BackupSec om att validera er återställningsarkitektur →

Denna analys bygger på Sysdigs forskning från juli 2026 om JadePuffer-kampanjen, IBM:s X-Force Threat Index för 2026, Veeams Data Protection Trends Report för 2024, samt Sophos' forskning från 2024 om komprometterade backuper. Tolkningen och ramverket som presenteras här är BackupSecs egna. Om ni vill diskutera hur denna analys tillämpas på er specifika miljö, kontakta vårt team →