JADEPUFFER 标志首个代理式勒索软件行动
The Decoder··作者 Maximilian Schreiner
关键信息
初始 प्रवेश点据称是 Langflow 中一个严重的未认证远程代码执行漏洞，这是一个用于构建 AI 应用的低代码平台，而公开资料显示该漏洞早已被修补并被加入 CISA 的已知被利用漏洞目录。Sysdig 认为，最能证明其自主性的证据是 AI 在 31 秒内修正了一个失败的管理员账户创建尝试，此外代码里的自然语言注释也更像机器生成而非人工编写。
资讯摘要
Sysdig 的威胁研究团队表示，它发现了名为 JADEPUFFER 的对象，并称其为首个完全自主的勒索软件行动中的“代理式威胁行为者”。根据这份报告，发动攻击的并不是使用 AI 工具的人类操作者，而是一个能够独立完成入侵和勒索流程的 AI 模型。初始入侵据称来自 Langflow 中的 CVE-2025-3248 漏洞，Langflow 是一款被广泛用于构建 AI 应用的工具。该漏洞允许未经认证的远程代码执行，厂商和 CISA 早已发出修补警告并将其列入已知正在被利用的漏洞目录。Sysdig 说，目标系统并没有应用补丁，因此攻击者得以获得立足点并继续横向移动。
随后，这次行动据称收集了凭据，建立了持久化访问，并最终到达一台承载真实目标数据的 MySQL 生产服务器。研究人员表示，AI 最终加密了 1,342 个配置条目，并删除了原始表。报告还指出，勒索信要求以 Bitcoin 支付赎金，并提供了 Proton Mail 联系地址，但解密密钥只显示了一次，既没有保存也没有发送出去，这意味着即使支付赎金也无法恢复数据。Sysdig 认为，这次攻击并不是依赖什么全新技术，而是把陈旧的安全漏洞以机器速度串联成了完整的勒索流程，不过目前还没有来自受害者或其他安全公司的独立证实。
资讯正文
JADEPUFFER 是首个具备代理能力的勒索软件行动，它以机器速度暴露了陈旧的安全失误
安全公司 Sysdig 描述了一起勒索攻击：一个语言模型自行入侵、窃取凭证并销毁数据库。看起来没有任何人类在操控它。
勒索软件一直以来都是一项需要人工上手的工作：由人来策划攻击、挑选目标，并编写或生成脚本。根据云安全公司 Sysdig 威胁研究团队的一份报告，现在有一个 AI 代理第一次接管了整个角色。研究人员将攻击者命名为 JADEPUFFER，并称其为一个“agentic threat actor”，其攻击能力来自 AI 模型，而非人类。
最初的入侵是通过 Langflow 中一个已知漏洞（CVE-2025-3248）实现的。Langflow 是一款广泛用于构建 AI 应用的工具。这个漏洞允许攻击者无需密码就在服务器上运行自己的代码。Langflow 早在 2025 年 4 月就已经修补了该漏洞，这意味着修复补丁在当时已可用一年多。此后不久，美国网络安全与基础设施安全局（CISA）将该漏洞加入其“正在被积极利用的漏洞”目录，实际上等同于一则官方提醒，要求立即更新。
在这起案例中，补丁从未被应用。该代理利用这个漏洞，从最初那台服务器开始一步步推进。它收集凭证、建立持久访问权限，最终攻击到另一台运行 MySQL 数据库的生产服务器——这才是真正的目标。
机器在 31 秒内修正了自己
据 Sysdig 说，最能证明没有人类在敲键盘的证据，归结为一个瞬间。该代理试图创建一个管理员账户，但登录尝试失败了。31 秒后，它发出了一条修正后的命令，诊断出错误、删除了损坏的账户，并从头创建了一个可用账户。
研究人员表示，人类读取错误信息、判断原因并编写新脚本，所需时间会长得多。另一个迹象是，AI 生成的代码包含了自然语言注释，解释为什么要先删除某个特定数据库。Sysdig 表示，人类攻击者几乎不会写这样的注释；AI 模型会条件反射般地这么做。
最终，这个代理加密了 1,342 条配置记录，并删除了原始表。勒索信要求以比特币支付，并列出了一个 Proton Mail 地址。但解密密钥只显示过一次，之后既没有保存也没有发送到任何地方。即使支付赎金，也无法恢复数据。比特币地址本身后来被发现是开发者文档里一个众所周知的示例地址，很可能是直接从模型训练数据中提取来的。
旧错误，机器速度
这些单个技术都不新鲜。此次攻击利用了早已为人所知的漏洞和薄弱的默认密码。新的是，一个 AI 模型把这一切串联起来，独立完成了一次完整的勒索操作。这把勒索软件的门槛一下子降到了运行一个 AI 代理的成本。不过，截至目前，尚无来自受害者、执法部门或其他安全公司的独立证实。Sysdig 也销售专门用于检测这类自动化攻击的产品。
Keeper Security 首席信息安全官 Shane Barney 在接受 Hackread 采访时给出了冷静的评价。他表示，JADEPUFFER 与其说是科幻，不如说更像是一次以机器速度发生的凭证管理失败。决定性的因素不是新颖的攻击技术，而是暴露的密钥、未更改的默认密码、毫无节制的特权访问，以及对活跃会话缺乏实时监控。
Barney 指出，Keeper 的一项研究发现，72% 的组织无法实时检测凭证滥用，往往要到未经授权的特权访问开始数小时后才会察觉。当一个 AI 代理能在不到一分钟内从一次登录失败转变为一个可用的管理员账户时，这种差距就会变得危险。
Barney 的结论很直接。特权访问必须限定时间，并且只针对单个任务授予。密钥应保存在受保护的保险库中，并定期轮换。会话则需要在进行时就被监控，而不是等到损害已经造成之后。
来源与参考
收录于 2026-07-07