JADEPUFFER : le premier rançongiciel piloté par une IA autonome

Faire cavalier seul. Un rançongiciel qui exige du Bitcoin, une adresse bien réelle, et zéro chance d’en toucher un centime. Voilà le paradoxe qui se cache derrière JADEPUFFER, le rapport publié le 1ᵉʳ juillet 2026 par Sysdig, qui a fait l’effet d’une bombe dans le petit monde de la cybersécurité. Son sujet : le premier cas documenté de rançongiciel « agentique », une attaque pilotée de bout en bout par un agent IA autonome, un grand modèle de langage capable d’agir seul sur chaque étape technique. Sauf qu’entre le 1ᵉʳ et le 6 juillet, l’histoire a pris un tournant que peu de médias ont pris la peine de raconter. On reprend depuis le début.

Langflow, Nacos, 31 secondes : la mécanique de JADEPUFFER

Tout part d’une faille qui n’a rien de neuf, référencée CVE-2025-3248 dans la Base de données nationale sur la vulnérabilité des USA, elle est un défaut d’authentification touchant les instances Langflow (une plateforme open source pour construire des applications d’IA) exposées sur Internet, dans les versions antérieures à la 1.3.0. Rien d’exotique. Cette vulnérabilité était exploitée activement depuis mai 2025, et déjà répertoriée dans le catalogue des failles connues de la CISA également bien avant JADEPUFFER.

Ce qui change, ce n’est donc pas la porte d’entrée. C’est ce qui s’est passé une fois l’agent à l’intérieur. Livré à lui-même, il a récupéré des identifiants, installé une tâche planifiée pour garder l’accès, puis chiffré 1 342 éléments de configuration du service Nacos (une plateforme de gestion de configuration très répandue dans les architectures cloud), avant de supprimer les originaux. Et quand une première tentative de connexion a échoué ? L’agent a diagnostiqué le problème tout seul, puis corrigé le tir. En 31 secondes.

Bitcoin fantôme : la rançon que personne ne pourra jamais toucher

Voilà où l’histoire bascule dans l’absurde. La clé de chiffrement AES a été générée à partir de deux identifiants tirés au hasard (des UUID), affichée une seule fois dans les journaux techniques, jamais sauvegardée nulle part. Jamais transmise à quiconque. Même les attaquants derrière l’opération ne l’ont pas.

Résultat : la note de rançon que l’agent a lui-même rédigée et glissée dans une table baptisée README_RANSOM réclame bien un paiement en Bitcoin, avec un contact ProtonMail pour négocier. Sauf que payer ne rendra rien du tout. Personne, pas même l’assaillant, ne peut restituer des données qui n’ont jamais existé ailleurs que dans une clé effacée de la mémoire d’un serveur.

Et il y a plus étrange encore. L’adresse fournie dans la note, 3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy, n’est pas une adresse comme les autres : c’est celle utilisée comme exemple officiel dans la documentation de Bitcoin depuis des années, la fameuse adresse « pour illustrer » recopiée dans des dizaines de tutoriels. Un vrai wallet, actif qui plus est : environ 46 BTC reçus sur toute son histoire, mais un solde à zéro aujourd’hui, chaque dépôt étant systématiquement reversé ailleurs.

Sysdig elle-même ne tranche pas la question : soit le modèle a halluciné cette adresse depuis ses données d’entraînement, soit l’opérateur a réellement configuré un wallet qui coïncide, par hasard, avec l’exemple le plus cité du web.

6 juillet, le retour de bâton : il y avait bien un humain derrière l’IA

Le récit du « tout autonome, zéro humain » a pris du plomb dans l’aile cinq jours à peine après la publication du rapport, et alors même que nous étions en train de vous préparer ce long format. Dans une interview accordée à CyberScoop, Michael Clark, directeur de la recherche chez Sysdig, a remis les pendules à l’heure : un humain a bien choisi la victime, monté l’infrastructure de commande (le serveur de contrôle, celui utilisé pour stocker les données volées), et surtout fourni les identifiants ayant permis de percer la base Nacos, la vraie cible de l’opération. Ces identifiants, l’agent ne les a pas dénichés tout seul. Quelqu’un les lui a mis entre les mains.

L’IA n’a pas choisi la cible, disons-le clairement. Elle a exécuté, et plutôt bien : l’intrusion, le chiffrement, la note de rançon, la correction d’erreurs en 31 secondes. Mais l’autonomie totale vantée par les premiers titres de presse (« sans humain au clavier », « sans supervision ») ne tient plus telle quelle. Un opérateur a choisi la cible et lui a mis les clés en main.

Patché depuis un an, exploité encore aujourd’hui

Sur le fond, peu de choses ont bougé depuis. Aucune nouvelle victime nommée n’a été rendue publique. Aucun correctif supplémentaire n’est venu s’ajouter à ce qui existait déjà : le patch Langflow 1.3.0, disponible depuis plus d’un an. Le vrai problème n’a jamais été l’absence de solution technique. C’est le nombre d’instances qui tournent encore, aujourd’hui, en version vulnérable, quelque part sur Internet.

Sysdig n’a pas non plus détecté de campagne similaire à ce stade. Un silence qui n’a rien de rassurant en soi : ça peut vouloir dire que JADEPUFFER reste un cas isolé, ou que le calme précède une réplique plus large. Vu le coût quasi nul de faire tourner un agent, la deuxième hypothèse n’a rien d’improbable.

L’urgence, ce n’est pas d’attendre un hypothétique nouveau patch. Il existe déjà, depuis mai 2025. C’est de vérifier dès maintenant qu’aucune instance de l’entreprise ne tourne encore en version antérieure exposée sur Internet, avant que quelqu’un d’autre ne s’en charge à sa place. Pour prendre la mesure de ce que l’IA change déjà au paysage de la cybercriminalité, notre dossier sur l’IA comme arme industrielle du crime reste la meilleure porte d’entrée. Et pour comprendre pourquoi le Bitcoin reste, malgré lui, la monnaie de référence des rançongiciels alors même qu’il est traçable sur une blockchain publique, direction notre Encyclopédie du Coin.

La prochaine fois, l’agent qui frappera à la porte n’aura peut-être pas besoin de 31 secondes pour trouver le bon réglage. Il aura eu le temps d’apprendre du premier essai. Et, avec un peu de chance pour lui cette fois, d’utiliser une vraie adresse Bitcoin.