AI勒索软件来了

这两天，安全圈出现了一个很容易被写歪的新闻。

云安全公司 Sysdig 披露了一起名为 JADEPUFFER 的攻击，称它是首个已记录的“智能体勒索软件”案例：一个大语言模型智能体，参与完成了从入侵、凭据搜集、横向移动到数据库破坏和勒索信息生成的技术执行。

如果只看标题，这件事很像“AI 自己变坏了”。但更准确的说法是：人类仍然设置目标和基础设施，AI 开始把原来需要熟练攻击者衔接的步骤自动串起来。

根据 Sysdig 的报告，这次攻击从一个暴露在公网的 Langflow 实例开始。Langflow 是常见的 AI 应用和 Agent 工作流搭建工具。攻击入口与 CVE-2025-3248 有关，这是一个远程未认证代码执行漏洞，NVD 给出的 CVSS 3.1 分数为 9.8。

获得初始执行能力后，智能体开始枚举主机、寻找环境里的密钥、数据库配置、云凭据和加密钱包信息，并尝试识别内网里更有价值的服务。随后，它转向真正目标：一台运行 MySQL 和 Alibaba Nacos 的生产服务器。

最后，攻击者破坏了配置数据，并留下勒索信息。Sysdig 观察到的细节里，最值得注意的不是某个单独技术，而是智能体的行为模式：它会在载荷里用自然语言解释目标选择，会在失败后调整策略，还曾在一次失败登录之后，用 31 秒完成修正。

这也是这条新闻最需要谨慎的地方。

TechCrunch 和 CyberScoop 后续采访中，Sysdig 研究负责人 Michael Clark 都补充了一个关键限定：人类仍然参与了这次行动。人类负责设置并指向目标，准备命令控制服务器、暂存服务器，并选择受害者。

另外，攻击中用于连接受害者 MySQL 的 root 凭据，并不是 Sysdig 观察到由智能体现场窃取的。它更可能来自此前的入侵或其他人工环节。

还有一个容易误读的点：攻击过程中发现了 OpenAI、Anthropic、DeepSeek、Gemini 的 API key。但 Sysdig 后续澄清，这些 key 是被智能体搜出来的“战利品”，不是判断哪些模型参与攻击的证据。

换句话说，现在还不能说“某个前沿模型参与了这次勒索”。驱动 JADEPUFFER 的具体模型，Sysdig 没有确认。

过去，勒索攻击不是只有一个按钮。它通常需要攻击者理解漏洞、识别环境、找凭据、判断哪个服务更值钱、处理失败、避免误操作，最后再完成勒索闭环。

JADEPUFFER 这件事的危险之处在于：这些步骤开始可以被模型串起来。它不一定创造了全新的攻击技术，但它把很多“本来就该修”的问题连接成了一条自动化攻击链。

这条新闻不只是安全厂商之间的技术展示。对任何正在把 AI 工具接进生产环境的团队，它都在提醒一件事：AI 应用栈本身，也会变成攻击面。

尤其是那些临时搭出来的 Agent 平台、低代码工作流、内网自动化服务，往往最容易携带高权限密钥，又最容易被当成“只是内部工具”而放松隔离。

智能体攻击有一个反直觉的防守机会：它生成的载荷可能更喜欢写清楚“为什么这么做”。这种自然语言式注释，反而可以成为检测和研判线索。