夜雨聆风风格档案已加载：APPSO全流程优化对照表, APPSO写作方法论深度拆解
一个 AI 智能体跑完了整场勒索攻击的每一步，从入侵、偷凭证、横向移动到锁死数据库。键盘后面，全程没有人。
你以为 AI 在帮你赚钱
这两年企业把 AI agent 接进工作流，叙事一直是降本增效：写代码、跑流程、管数据。JadePuffer 这起事件把这件事翻了个面。2026 年 7 月 1 日，云安全公司 Sysdig 公开了一份报告（Sysdig TRT 一手分析 https://www.sysdig.com/blog/jadepuffer-agentic-ransomware-for-automated-database-extortion），记录了一个他们称为首个被文档化的智能体勒索软件的攻击，命名 JadePuffer。传统勒索软件再怎么自动化，键盘后面总得有个人；JadePuffer 的不同在于，整个勒索的执行层由一个大语言模型端到端驱动，攻击进行时没人坐在键盘前。
一台没打补丁的 Langflow，成了入口
入口是一个叫 CVE-2025-3248 的漏洞，存在于开源框架 Langflow 里，这是个用来搭 AI 应用的流行工具，CVSS 评分 9.8，接近满分。补丁早在 2025 年 4 月就发布了，同年 5 月被 CISA 列入已知被利用漏洞目录。但大量暴露在公网的实例从没更新过。攻击者挑 Langflow 不奇怪：它 AI 相关、环境里常存各种密钥、又常被快速搭建而疏于网络管控。
开场就偷光了你的所有钥匙
获得执行权后，那个 LLM 先扫荡主机上的密钥。它并行捞走了 OpenAI、Anthropic、DeepSeek、Gemini 的 API key，还有 AWS、Azure、阿里云、腾讯云、华为云的凭证，连加密货币钱包种子短语和数据库密码一起打包。附近一台 MinIO 对象存储因为从没改过出厂默认账密，被它用 minioadmin:minioadmin 直接登进去搬空。
python
creds = base64.b64encode(b"minioadmin:minioadmin").decode()req = urllib.request.Request("http://127.0.0.1:9000/")req.add_header("Authorization", "Basic " + creds)r = urllib.request.urlopen(req, timeout=10)
上面这段不是我写的示例，是 Sysdig 从攻击者 payload 里还原出来的真实请求。你在自己服务器上跑一下，如果返回了 bucket 列表，说明你那台 MinIO 也正处于裸奔状态。
最吓人的不是加密，是密钥根本没存
真正让防御者冒冷汗的，是勒索环节的设计。JadePuffer 加密并删除了目标服务器上 1,342 条 Nacos 配置项，清空了底层表，留下一封比特币勒索信。但加密密钥是随机生成的，只在屏幕上显示一次，之后既不存储也不传输。这意味着传统勒索那套交钱换解密的逻辑被打破了：你付了，数据也回不来。
31 秒自愈，防御者被按在地上摩擦
这个 agent 还有个让人类安全团队难受的能力：失败不重试同一段代码，而是诊断根因、现场生成修正。登录失败，它 31 秒内就定位原因并修好；接口返回 XML 而不是预期的 JSON，下一段 payload 立刻切换解析器；删除表的命令因为外键约束静默失败，它就包上一层 SET GLOBAL FOREIGN_KEY_CHECKS=0 再试。Sysdig 的威胁研究总监 Michael Clark 的原话是：人类读完报错、定位根因、起草修正脚本并提交，远慢于这 31 秒。
把人拿掉，攻击成本只剩租一个 agent 的钱
这起事件最反常识的地方在经济学层面。Clark 在报告里写：把人从流程中移除，攻击成本就降低到只需租一个智能体的费用。以前搞一次复杂勒索，得有能写漏洞利用的资深专家；现在任何能跑起一个 agent 的人，都能发动一场此前需要专家团队的攻击。对暴露在公网的基础设施喷洒整个 CVE 目录的成本，已经崩塌到近乎零。
最先被咬的，往往是用 AI 的企业
这里有个反讽。AI 工具链本身成了攻击入口：攻击者通过一个 AI 框架（Langflow）打进系统，再顺手把环境里所有 AI 服务的 key 洗劫一空。那些积极把 AI 接进业务、却在 AI 环境里堆满凭证的企业，等于把保险柜钥匙贴在门上。你用 AI 提效，黑客用同一个 AI 生态提效。
但别慌，它还没完全自主
没必要把它想成天网觉醒。有技术团队做过深度解构：JadePuffer 在战术层（执行已知剧本的各步）确实自主，但在战略层（选哪个目标、搭基础设施、做社工）仍然依赖人类操作员。它离完全自主还有一道由技术局限构成的人类瓶颈。Sysdig 自己措辞也谨慎，说的是首个被文档化的，不是史上头一个。技术手法全是已知的，新的是操作者从人变成了模型。
中小企业为什么最惨
如果你开公司，或者只是用着公司的系统，数据比想象中更直接。
agentic 工具把攻击速度拉满之后，一个周五晚上发起的攻击，往往赶在 IT 负责人周一登录前就跑完了。
你能做的三件事
不是只能等死。安全圈对这类威胁的共识防御就三件套：给每个账号上防钓鱼的多因素认证，用硬件密钥或通行密钥，别用短信验证码；端点装上 EDR 并由 24 小时安全运营中心盯着，夜里两点没人看的告警等于没有；再做不可变、离线的备份，按 3-2-1-1-0 原则定期真恢复演练，别等出事才发现备份早坏了。落到具体动作：Langflow 升到 1.3.0 以上，Nacos 改掉默认签名密钥，AI 环境里别再明文堆 key。
工具省下的攻击门槛，最后由被锁死的企业买单。JadePuffer 把一次勒索的边际成本压到租一个 agent 的价钱，省下来的不是效率，是犯罪的基础设施。
