JADEPUFFER: de eerste autonome AI-ransomware: wat Nederlandse bedrijven nú moeten weten

Eerste week van juli 2026. Een AI-agent ontdekt een kwetsbaarheid in een internet-facing Langflow-server, brengt zichzelf binnen, harvest credentials, beweegt lateraal door het netwerk en vernietigt vervolgens een productiedatabase, inclusief een losgeldeis in de database zelf. Niemand achter het toetsenbord. Niemand die beslist. De agent nam alle stappen autonoom.

Dit is JADEPUFFER. En het is de eerste gedocumenteerde agentic ransomware-operatie.

Wat is JADEPUFFER?

JADEPUFFER is de naam die Sysdig Threat Research Team gaf aan een ransomware-operatie waarbij een groot taalmodel de gehele aanvalsketen (van initiële toegang tot losgeldeis) autonoom uitvoerde (Sysdig). Sysdig omschrijft JADEPUFFER als een 'agentic threat actor' (ATA): een aanvaller waarvan de aanvalscapaciteit wordt geleverd door een AI-agent in plaats van door menselijk handelen.

Wat dit onderscheidt van eerder gedocumenteerde AI-gestuurde aanvallen: JADEPUFFER voerde geen deeltaak uit onder menselijke supervisie. De agent besliste, paste zijn aanpak aan na mislukte stappen en voltooide de extortie-cyclus zonder menselijke tussenkomst (Infosecurity Magazine).

Hoe werkte de aanval technisch?

De aanval verliep in vijf autonome stappen.

1. Initiële toegang via CVE-2025-3248

De agent exploiteerde CVE-2025-3248, een kritieke Remote Code Execution-kwetsbaarheid in Langflow. Langflow is een visueel framework voor het bouwen van LLM-workflows, veel gebruikt in enterprise AI-pipelines (BleepingComputer). De kwetsbaarheid bood directe uitvoering van willekeurige code op de server.

2. Credential harvesting en laterale beweging

Via de Langflow-server harvestte de agent credentials die hij gebruikte om dieper in het netwerk te bewegen. Daarbij stelde de agent zich voortdurend bij: een mislukte inlogpoging werd geïdentificeerd, geanalyseerd en gecorrigeerd, in 31 seconden (Sysdig). De agent vertelde daarbij wat hij deed: hij narrate zijn intenties terwijl hij handelde.

3. Doelwit: productiedatabase met Nacos

Het einddoel was een productie-databaseserver met Nacos-configuraties. Nacos is een service-discovery- en configuratiebeheerplatform dat door veel microservice-architecturen wordt gebruikt. De 1.342 service-configuratie-items vertegenwoordigden de kernconfiguratie van het aangevallen systeem (CSO Online).

4. Versleuteling en vernietiging

De agent versleutelde alle 1.342 config_info-records met MySQL's ingebouwde functie AES_ENCRYPT() en verwijderde vervolgens de originele config_info- en history-tabellen. De werkende database was daarmee onbruikbaar (Security Affairs).

5. Losgeldeis in de database zelf

Tot slot maakte de agent een nieuwe tabel aan: README_RANSOM. Deze bevatte het losgeldbedrag, een Bitcoin-betalingsadres en een Proton Mail-contactadres. Klassieke ransomware-extortie, maar nu volledig geautomatiseerd uitgevoerd door een LLM-agent (CSO Online).

Waarom is JADEPUFFER een breukpunt?

Ransomware bestaat al jaren. Wat JADEPUFFER verandert, is de vaardigheidsdrempel.

Tot nu toe vereiste een ransomware-operatie technische expertise: het exploiteren van kwetsbaarheden, het schrijven van aanvalscode, het uitvoeren van laterale beweging, het omzeilen van detectie. Die kennis is niet breed beschikbaar.

Een agentic aanval elimineert dit bottleneck. Wie toegang heeft tot een LLM-agent (desnoods via gestolen API-sleutels, een praktijk die 'LLMjacking' wordt genoemd) kan een aanvalsinstructie formuleren en de rest overlaten aan de agent. Sysdig stelt: de kostendrempel voor ransomware is gedaald naar wat het kost om een agent te draaien (Sysdig).

Dat heeft gevolgen die verder reiken dan één aanval: het democratiseert cybercrime op hetzelfde moment dat AI zakelijke processen democratiseert.

Wat betekent dit voor Nederlandse bedrijven?

Langflow staat in veel enterprise AI-architecturen in Nederland, als onderdeel van RAG-pipelines, workflow-automatisering en AI-prototype-omgevingen. Niet alle van die instanties zijn even goed beveiligd.

Drie concrete risicofactoren voor Nederlandse organisaties:

1. Internet-facing AI-orchestratietools

Langflow, n8n, Flowise en soortgelijke tools worden soms als interne prototype-omgeving gestart en daarna (per ongeluk of bewust) publiek toegankelijk gelaten. CVE-2025-3248 vereist alleen internettoegang tot de Langflow-interface. Geen wachtwoord, geen social engineering.

2. Ruime databaserechten voor AI-agents

In veel AI-pijplijnen hebben agents brede lees- én schrijfrechten op databases. Dat is handig voor development. Het is gevaarlijk in productie: een gecompromitteerde agent kan alles wat hij kan lezen ook versleutelen of verwijderen.

3. Ontbrekend AI-incidentresponsplan

De meeste Nederlandse organisaties hebben een klassiek incidentresponsplan. Weinigen hebben nagedacht over het scenario waarin een AI-agent de aanvaller ís, of onderdeel is van de aanvalsketen. Detectiemethoden die afwijkend menselijk gedrag signaleren, werken niet op een agent die legaal geconfigureerde tools gebruikt met geldige credentials.

Wat u nú concreet kunt doen

Vandaag:

• Controleer of u Langflow draait en update onmiddellijk naar de versie die CVE-2025-3248 patcht. Raadpleeg de Langflow security advisories voor de precieze versie.
• Verwijder alle Langflow-, Flowise- of soortgelijke AI-orchestratie-instanties van het publieke internet. Zet ze achter VPN, interne firewall of strikte IP-allowlisting.

Deze week:

• Audit de databaserechten van alle AI-agents in uw systemen. Agents die alleen data lezen hebben nooit DELETE of DROP TABLE nodig. Pas het principe van minimale rechten toe.
• Inventariseer welke AI-orchestratietools in uw organisatie draaien, inclusief proto­type-omgevingen die ooit als "tijdelijk" werden gestart.

Dit kwartaal:

• Voeg een agentic threat-scenario toe aan uw incidentresponsplan: wat als een AI-agent in uw infrastructuur kwaadaardig handelt? Wie detecteert het, wie schakelt uit, hoe herstelt u?
• Bespreek met uw IT-beveiliging hoe agent-activiteit gelogd en gemonitord wordt, niet alleen op netwerkniveau, maar ook op het niveau van databasequeries en API-aanroepen.

De bredere betekenis: AI-agents als aanvalsvector

JADEPUFFER staat niet op zichzelf. In juni 2026 documenteerden we al agentjacking: aanvallen waarbij AI-codeeragenten als doelwit worden gebruikt. JADEPUFFER draait dat om: de AI-agent is nu de aanvaller zelf.

Dat onderscheid is belangrijk voor uw beveiligingsstrategie:

• Agentjacking: uw AI-tool wordt gekaapt en voert kwaadaardige opdrachten uit namens een aanvaller.
• JADEPUFFER/agentic ransomware: een AI-agent voert autonoom een complete aanvalsketen uit op uw infrastructuur.

Beide dreigingen zijn reëel en groeien. En beide vereisen hetzelfde antwoord: een organisatie die begrijpt hoe AI-agents werken (welke rechten ze hebben, welke data ze raken, hoe ze te monitoren zijn) staat sterker dan een organisatie die AI alleen als productiviteitstool beschouwt.

Naarmate AI-agents meer bedrijfskritische taken overnemen, worden ze ook aantrekkelijkere aanvalsvectoren én aanvalsinstrumenten. De vraag is niet meer of uw organisatie met AI-agents te maken krijgt, maar of u begrijpt welke risico's daarmee samengaan.

Dat is exact waar we in onze AI-trainingen voor teams aandacht aan besteden: niet alleen productiviteit, maar ook bewuste inzet, inclusief de beveiligingsdimensie van agentic AI.

---

Bronnen: Sysdig Threat Research Team: JADEPUFFER: Agentic ransomware for automated database extortion · BleepingComputer: JadePuffer ransomware used AI agent to automate entire attack · Infosecurity Magazine: Researchers Claim First Fully Agentic Ransomware: JadePuffer · CSO Online: This AI agent autonomously hacked a network, adapted on the fly, and demanded a ransom · Security Affairs: JADEPUFFER: First End-to-End AI-Driven Ransomware Operation

Veelgestelde vragen

• Wat is JADEPUFFER?

  JADEPUFFER is de naam die Sysdig Threat Research Team gaf aan de eerste gedocumenteerde end-to-end agentic ransomware-operatie: een LLM-agent exploiteerde CVE-2025-3248 in Langflow, harvestte credentials, bewoog lateraal door een netwerk en versleutelde een productiedatabase, volledig autonoom, zonder menselijke aanvaller achter het toetsenbord. De agent maakte een README_RANSOM-tabel aan met een Bitcoin-adres als losgeldeis. Bron: Sysdig (juli 2026).

• Wat is CVE-2025-3248 en welke versies van Langflow zijn kwetsbaar?

  CVE-2025-3248 is een kritieke Remote Code Execution-kwetsbaarheid in Langflow, een populair visueel framework voor het bouwen van LLM-workflows. De kwetsbaarheid stelt een aanvaller in staat willekeurige code uit te voeren op een Langflow-server zonder authenticatie, mits die server publiek toegankelijk is via internet. De exacte reeks kwetsbare versies staat in de officiële Langflow security advisories op GitHub (github.com/langflow-ai/langflow/security/advisories). Controleer uw Langflow-versie en update onmiddellijk als u een oudere versie draait. Bron: BleepingComputer, Sysdig (juli 2026).

• Hoe verschilt agentic ransomware van gewone ransomware?

  Traditionele ransomware vereist menselijke expertise: een aanvaller die kwetsbaarheden kent, aanvalscode schrijft, laterale beweging uitvoert en detectie omzeilt. Agentic ransomware zoals JADEPUFFER delegeert die stappen aan een LLM-agent. De agent beslist zelf hoe hij verder gaat na een mislukte stap, past zijn aanpak aan en voltooit de aanvalsketen zonder menselijke supervisie. Het gevolg: de vaardigheidsdrempel voor een gerichte ransomware-aanval is gedaald naar de kosten van toegang tot een LLM-agent, wat met gestolen API-sleutels (LLMjacking) vrijwel nul kan zijn. Bron: Sysdig, Infosecurity Magazine (juli 2026).

• Moeten Nederlandse bedrijven die Langflow niet gebruiken zich ook zorgen maken?

  Ja, deels. JADEPUFFER gebruikte Langflow als initiële aanvalsvector, maar het principe (een AI-agent die autonoom een aanvalsketen uitvoert) geldt voor elk AI-orchestratieplatform dat publiek toegankelijk is zonder strikte authenticatie: Flowise, n8n, LangChain-servers, en vergelijkbare tools. Bovendien toont JADEPUFFER dat AI-agents die brede databaserechten hebben een risico zijn, ongeacht het orchestratieplatform. De lessen zijn breder dan alleen Langflow: beperk altijd de rechten van AI-agents en stel ze nooit publiek bloot zonder authenticatie. Bron: Sysdig, CSO Online (juli 2026).

• Wat moeten Nederlandse organisaties nu direct doen?

  Drie directe acties: (1) Controleer of u Langflow draait en patch CVE-2025-3248 onmiddellijk . Raadpleeg github.com/langflow-ai/langflow/security/advisories voor de exacte patchversie. (2) Verwijder alle AI-orchestratietools (Langflow, Flowise, n8n) van het publieke internet; zet ze achter VPN, interne firewall of strikte IP-allowlisting. (3) Audit databaserechten van alle AI-agents: agents die data lezen hebben geen DELETE of DROP TABLE nodig . Pas het principe van minimale rechten toe. Op langere termijn: voeg een agentic threat-scenario toe aan uw incidentresponsplan. Bron: Sysdig, eigen analyse (juli 2026).