JadePuffer 全链路复盘：AI Agent 如何自主完成史上首次端到端勒索攻击

一句话结论：Sysdig 记录下史上第一起由 LLM 全自主驱动的勒索攻击。JadePuffer 从漏洞利用到数据库毁灭，完整执行了攻击链的每个环节——勒索门槛从此降到「运行一个 Agent 的成本」。

发生了什么

2026 年 7 月 1 日，Sysdig 威胁研究团队公布了命名为 JadePuffer 的攻击行动——史上首次确认没有人类操作员在攻击回路中的勒索软件事件。

攻击全链路

第 1 步：初始入侵。JadePuffer 利用 CVE-2025-3248——Langflow 中允许未认证远程攻击者执行任意 Python 代码的漏洞——获得初始访问。

第 2 步：凭据窃取。Agent 系统性扫描：LLM API Keys（阿里云/腾讯/华为有显式覆盖）、AWS/Azure/GCP 云凭据、加密货币钱包、数据库密码。

第 3 步：横向移动。攻击 Nacos——利用 CVE-2021-29441 + 默认签名密钥伪造 JWT。注入后门管理员账户。

第 4 步：数据毁灭。MySQL AES 加密 1342 个配置项。删除数据库 schema。Agent 自己记录了操作理由——「高 ROI 表优先」。

第 5 步：勒索。创建赎金表，Bitcoin 地址 + ProtonMail。即使付赎金数据也无法恢复。

为什么这次不同

传统勒索软件是自动化但不是自主的。JadePuffer 的不同在于 LLM 本身完成了每个决策。没有一步是新技术，关键是模型自己把它们串联成了完整攻击。

五眼联盟 6 月罕见联合警告：AI 数月内将对企业和政府造成严重威胁。

防护建议

• 修补 CVE-2025-3248 和 CVE-2021-29441
• 不要将管理界面暴露在公网
• 更改所有默认密码和密钥
• 云凭据远离 web-facing 服务器

FAQ

JadePuffer 是谁操作的？ 目前尚未归因。

我用了 Langflow 需要担心吗？ 已打补丁且未暴露公网则风险低。

这和 Strix 有什么区别？ Strix 是防守方的 AI 渗透测试工具，JadePuffer 是攻击方的 AI 自主攻击。

相关阅读

• Strix：3.4 万星开源 AI 渗透测试 Agent
• Anthropic Cybersecurity Skills — 21 k 星
• Claude Code 的隐写水印
• AI 巨头的 FDE 军备竞赛

参考来源

• Sysdig 官方报告
• The Independent 报道
• TNW 报道

延伸阅读：防御端也在 AI 化 — Strix 开源 AI 渗透测试 Agent 以 96% 准确率和零误报策略，代表了 AI 安全工具的另一面。

安全全景：JadePuffer 是攻击端的警示，Strix 是防御端的工具，Anthropic Cybersecurity Skills 是技能库——三者构成了当前 AI 安全攻防的完整图景。

安全对抗新维度：中国考虑限制 AI 模型出口（详见分析）和美国 CISA 使用 Mythos 审计政府代码，标志着 AI 安全从企业层升级到国家级攻防。