首个AI全流程勒索攻击来了：JADEPUFFER证明，勒索不再需要人类操盘手

首页 阅读 安全资讯 安全知识 安全工具 活动 社区 学院 安全导航 内容精选 专栏 精选专题 安全KER季刊 360网络安全周报 首个AI全流程勒索攻击来了：JADEPUFFER证明，勒索不再需要人类操盘手 阅读量 8518 发布时间 : 2026-07-07 11:35:09 x 译文声明 本文是翻译文章 译文仅供参考，具体内容表达以及含义原文为准。 2025年5月，CISA将一个 Langflow 漏洞列入已知漏洞利用目录。一年多后，这个早就打了补丁的漏洞，成为了一场史无前例的攻击事件的入口。 Sysdig威胁研究团队披露了一个代号JADEPUFFER的攻击者档案——它不是一个人，不是一个黑客组织，而是一个由大语言模型驱动的AI Agent。从入侵到勒索，整个攻击链路没有人类在键盘后操控。 这是首个被完整记录的”代理型勒索软件”（Agentic Ransomware）。 01 攻击者画像：没有键盘后面的人 传统勒索攻击的运转，始终依赖一个关键前提： 有人。 有人在键盘后做信息收集，有人判断下一步该打哪里，有人写脚本、读报错、调参数、改重试。即使自动化工具已经高度发达，那条”人的判断链”始终是不可或缺的环节。 JADEPUFFER 打破了这条前提。 Sysdig在报告中给出了明确定义： “这是一个我们评估为首例代理型勒索软件案例：一整条勒索操作链路，端到端由大语言模型驱动。” JADEPUFFER被归类为 代理型威胁行为者 （Agentic Threat Actor, ATA）——攻击能力由 AI Agent 交付，而非人类驱动的工具包。它不需要攻击者精通每一步的技术细节，模型本身承担了理解、判断、纠错和决策的全部职责。 这意味着勒索攻击的门槛，从”需要一个有技术的人”降到了”需要一个能调度模型的人”。 02 攻击链路复盘 从Langflow到MySQL的完整杀戮 入口：一个不该暴露在公网的Langflow 攻击的起点是CVE-2025-3248，Langflow框架中一个缺失认证的漏洞。 Langflow是一个用于构建AI应用和Agent工作流的开源框架，它天然带有代码执行能力。这个漏洞允许任何能访问到该服务器的人，无需登录即可执行任意Python代码。漏洞在2025年5月被修补并列入 CISA 的已知漏洞利用目录，但大量服务器从未更新。 Langflow实例之所以成为高价值目标，不仅因为它们暴露在互联网上，更因为它们通常持有大量API密钥和云服务凭证——这些是连接各类服务的通行证。 第一阶段：凭证大扫荡 获得执行权限后，JADEPUFFER没有急于深入，而是先做了一件事： 扫荡环境中所有能找到的密钥。 它的收集范围横跨多个类别，并行推进： AI平台API密钥： OpenAI、 Anthropic 、DeepSeek、Gemini 云服务商凭证： 阿里云、腾讯云、华为云，以及AWS、GCP、Azure 加密货币钱包： 私钥和助记词 数据库凭证与配置文件 与此同时，它还洗劫了Langflow自身的后端Postgres数据库，提取其中存储的凭证、API密钥和用户记录。数据先暂存到本地文件，审查完毕后删除暂存文件—— 一个训练有素的攻击者才会做的清理动作。 第二阶段：内部探测与MinIO突破 凭证收集只是热身。接下来，JADEPUFFER开始探测从Langflow主机可达的内部服务：数据库、对象存储、密钥管理器、服务发现端点，全部使用默认凭证进行测试。 它找到了一个MinIO对象存储服务器。 MinIO是一个自托管的、兼容S3协议的存储服务，广泛用于存放应用数据、备份、机器学习模型和基础设施状态。而这台MinIO的默认凭证minioadmin:minioadmin，从未被修改。 JADEPUFFER对MinIO的攻击展现了 迭代式自适应 的典型特征： 匿名健康检查 管理API信息查询 认证后的Bucket列表获取 针对性检索文件名暗示凭证的文件（如credentials.json、.env） 最值得注意的是一个细节：当它第一次用?format=json请求却收到XML格式的响应时，LLM立即调整了XML解析器以适配S3响应格式，然后重新发起请求。 这不是一个扫描器在跑固定脚本。这是一个Agent在读输出、理解上下文、然后调整下一步动作。 第三阶段：持久化与横向移动 在离开Langflow主机之前，JADEPUFFER安装了一个crontab定时任务，每30分钟向攻击者基础设施45.131.66[.]106的4444端口发送心跳信号。 Langflow从来不是终点。 第四阶段：真正的目标——生产数据库与Nacos 从被攻陷主机上获取的工件显示，JADEPUFFER的真正目标是一台独立暴露在互联网上的生产服务器，运行着MySQL数据库和阿里巴巴Nacos配置服务。 Nacos是微服务架构中常用的服务发现和动态配置平台。它的认证系统有一段被反复绕过的历史，其默认JWT签名密钥自2020年起就已公开，但在许多部署中至今未更改。 JADEPUFFER使用root账户连接MySQL服务器——这些凭证的来源，Sysdig无法确认。它们并非在被攻陷环境中被观测到收集的。 接下来，它同时从多个向量攻击Nacos： 利用2021年的认证绕过漏洞CVE-2021-29441 使用公开已知的默认签名密钥伪造有效JWT 直接向Nacos后端数据库注入一个后门管理员账户 03 31秒：证明AI在自主决策的铁证 后门账户注入的环节，是自主操作证据最精确的一处。 第一次尝试： 生成一个bcrypt哈希（通过子进程调用），插入账户并分配管理员权限。登录验证失败。 31秒后， 一个修正性Payload出现。这个Payload的逻辑是一段完整的排障流程： 删除出错的账户 诊断根因——子进程PATH问题导致bcrypt无法生成有效哈希 切换方案——改为直接导入bcrypt库 验证库可导入——打印版本号确认 重新插入账户，使用正确生成的哈希 登录成功。 Sysdig在报告中给出了关键判断： “从登录失败到正确的多步修复，间隔仅31秒。这段Payload是15行协调代码：删除、诊断、重建、重插入。一个人类操作者阅读报错信息、定位根因、起草修正脚本、提交执行，所需时间远超31秒。” 同样的自适应模式贯穿整个攻击过程： MinIO请求收到XML而非JSON → 下一个Payload立即解析XML JWT伪造收到”custom secret in use” → JWT路径直接放弃 DROP DATABASE因外键约束静默失败 → 下一个Payload在DROP前加SET GLOBAL FOREIGN_KEY_CHECKS=0，执行后重置 这不是重试，这是理解失败模式后的针对性修正。 04 勒索执行：1342条配置的加密与毁灭 控制Nacos后，JADEPUFFER执行了勒索核心动作： 使用MySQL的AES_ENCRYPT()函数，加密了全部1342条Nacos服务配置项，随后删除原始的config_info和历史表，创建了一张名为README_RANSOM的勒索表，内含勒索声明、比特币支付地址和Proton Mail联系方式。 两分钟