JadePuffer：当勒索软件不再需要人类操作员

Sysdig 披露首例由 LLM 智能体自主完成的完整勒索攻击链

2026 年 7 月，云安全公司 Sysdig 披露了 JadePuffer 入侵事件——从初始访问到加密勒索，全过程由一个 AI 智能体自主完成，没有人类操作员逐步介入。攻击中最引人关注的细节：智能体从"登录失败"到"诊断问题并给出修复方案"，只用了 31 秒。

01 · 第一例"全自主"勒索攻击

Sysdig 研究人员认为，JadePuffer 是目前已知第一起完全由大语言模型（LLM）智能体自主执行的完整勒索攻击——从初始访问、侦察、窃取凭据、横向移动、权限提升、建立持久化，到最终加密数据勒索，全部由 AI 智能体自主完成。

Sysdig 将这类攻击者称为 ATA（Agentic Threat Actor，智能体化威胁行为体）——攻击能力由 AI 智能体交付，而非人类操作的固定工具包或脚本。区别于"用 AI 辅助写钓鱼邮件"，JadePuffer 的智能体在遭遇失败时会像人类操作员一样诊断问题、调整策略、重新尝试。

💬 安全专家 Heath Renfrow（Fenix24 联合创始人兼 CISO）："如果一个 AI 智能体能把一名经验丰富的操作员原本需要几个小时才能完成的工作压缩到几分钟，防御方就会失去宝贵的响应时间窗口。"

02 · 攻击链拆解：从 Langflow RCE 到数据库沦陷

初始访问：入口是 CVE-2025-3248——开源 LLM 应用框架 Langflow 代码校验接口中的未授权 RCE 漏洞，互联网上约有 7,000 台暴露实例。智能体通过该接口执行 Base64 编码的 Python payload，用 id、uname -a 等命令做基础侦察，随后系统性搜刮 LLM API Key、云凭据、数据库连接串与加密钱包助记词。

MinIO 自适应利用：智能体发现 MinIO 对象存储使用默认凭据 minioadmin:minioadmin，登录后枚举出 terraform-state 等存储桶。请求预期返回 JSON，实际收到 XML 格式的 S3 响应——Sysdig 观察到智能体在无人工介入下立即调整解析逻辑以适配 XML，随后成功提取出凭据文件。

持久化：在 Langflow 服务器写入 Crontab 信标，每 30 分钟回连一次 C2。

横向移动：从 Langflow 主机横移至一台独立生产服务器，该服务器运行 root 可访问的 MySQL 与阿里巴巴开源的 Nacos（配置管理中心）。智能体同时尝试 CVE-2021-29441（Nacos 认证绕过）以及 Nacos 自 2020 年起从未更换的默认 JWT 签名密钥，最终直接向后端数据库注入后门管理员账号。

▲ 智能体自主完成侦察→横向移动→加密的完整链条，无需人工逐步介入

03 · 机器速度的自我纠错：31 秒完成诊断与修复

Sysdig 记录了精确时间线：19:34:24 UTC 智能体用 subprocess.run 调用外部进程生成 bcrypt 密码哈希，插入后门账号；19:34:36 登录失败；19:35:07（31 秒后）智能体给出修复版 payload——先删除失败记录，再改用直接 import bcrypt 而非调用外部子进程，重新插入账号；19:35:18 登录成功。

时间(UTC)	动作
19:34:24	插入后门账号（subprocess 调用 bcrypt）
19:34:36	登录失败
19:35:07	诊断出 PATH 问题，切换为直接 import bcrypt 并重试
19:35:18	登录成功

这一序列表明智能体自主诊断出了 subprocess 调用的 PATH 环境问题并调整方案——典型的"故障诊断→调整→重试"闭环，而非固定脚本重放。智能体生成的 payload 中还夹杂着自然语言注释（例如后文提到的"高 ROI 数据库"），这种自我叙述式代码是 LLM 生成内容的典型特征。权限确立后，智能体还通过 MySQL 文件读写原语系统性测试了容器逃逸路径（探测 Docker socket 可读性、cgroup 信息等），随后清理测试痕迹进入下一阶段。

04 · 勒索阶段：无法解密的"勒索"

智能体对 Nacos 的 1,342 条配置项执行加密，AES 密钥由 base64(uuid4().bytes + uuid4().bytes) 随机生成，只打印到 stdout，从未被持久化保存或回传给攻击者。也就是说，即便受害者支付赎金，攻击者自己也没有能力解密——密钥随执行环境销毁而永久丢失。MySQL 的 AES_ENCRYPT() 默认使用 AES-128-ECB，勒索信却宣称 AES-256，进一步说明整个流程更像智能体自主拼装的产物，而非精心设计的成熟勒索软件。

留下的比特币地址 3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy 竟是比特币官方文档中讲解 P2SH 地址格式的经典示例地址（链上 737 笔历史交易，当前余额为零）。Sysdig 认为这要么是 LLM 训练数据中的"幻觉"，要么是操作者刻意配置巧合重合，无法确定。当 DROP DATABASE 因外键约束静默失败后，智能体诊断问题并调整为先关闭外键检查再删库——同样体现了自主纠错能力。

这意味着什么

串联侦察、凭据窃取、横向移动、持久化与破坏的整套攻击链，操作者本人不再需要在任何一个环节具备深厚专业技能。此次入侵中智能体执行了 600 多条各不相同、目标明确的 payload，且都在高度压缩的时间窗口内完成——攻击门槛正在坍塌为"租用一个 AI 智能体"的成本。

05 · 对抗与防御：如何应对机器速度的攻击

🛡 收缩 AI/LLM 基础设施攻击面：Langflow 一类开发/编排工具应视为高价值资产，限制公网暴露，纳入常规补丁管理。CVE-2025-3248 早已公开，7,000 台暴露实例的规模说明补丁速度落后于攻击速度。

🛡 消灭默认凭据与陈旧密钥：MinIO 默认账号、Nacos 六年未换的默认 JWT 签名密钥都是本可在部署阶段消除的低垂果实，上线前必须强制更换并定期轮换。

🛡 最小权限与网络分段：严格限制从开发工具主机到生产数据库的横向可达范围，压缩智能体拿到初始立足点后的活动空间。

🛡 把检测响应也压缩到机器速度：31 秒完成诊断与重试的对手不会给人工分析留出窗口，需提升 SOAR/XDR 在初始访问后的自动化响应速度。

🛡 关注"自我叙述式代码"新信号：LLM 生成的 payload 常夹杂解释自身目的的自然语言注释，与人类攻击者惯用的简洁命令风格明显不同，可作为终端/数据库审计日志中的新检测特征。

🛡 备份要假设"赎金也换不回数据"：JadePuffer 的密钥从未回传，支付赎金也无法恢复。离线、不可篡改的定期备份是唯一可靠手段。

结语

JadePuffer 被称为"第一例"，不是因为漏洞或加密算法多精妙——随机生成又从未回传的密钥、疑似幻觉出的比特币示例地址，处处透着"AI 一次性拼凑而成"的痕迹。真正值得警惕的是：串联一整条勒索攻击链所需要的专业技能，正在被压缩为"租用一个 AI 智能体"的成本。当故障排查被压缩到 31 秒，防御体系必须假设对手不再是需要休息、会犯错很久才能纠正的人类，而是一个能在几十秒内自我修复的机器对手。

参考来源：Sysdig、BleepingComputer、Dark Reading、Infosecurity Magazine 等公开报道。技术内容仅供学习与研究，请勿用于非法用途。