JADEPUFFER: اختراق وكيل ذكاء اصطناعي مستقل لخادم Langflow وتشفير قاعدة بيانات إنتاجية

كيف تطور الهجوم

الوصول الأولي — CVE-2025-3248 (تنفيذ الأكواد عن بُعد في Langflow)

استهدف الوكيل خادم Langflow مواجهًا للإنترنت. ثغرة CVE-2025-3248 هي ثغرة حقن أكواد في نقطة النهاية /api/v1/validate/code في Langflow، وتؤثر على الإصدارات السابقة للإصدار 1.3.0 ^N. يمكن لمهاجم عن بُعد وغير موثوق إرسال طلبات HTTP مصممة خصيصًا لتنفيذ أكواد عشوائية عبر تلك النقطة ^N. استخدم وكيل LLM هذه الثغرة للحصول على الوصول الأولي وجمع بيانات الاعتماد من المضيف المخترق ^RMS.

الحركة الجانبية — بيانات الاعتماد المسروقة واستغلال Nacos

بعد اختراق المضيف الأولي، جمع الوكيل بيانات اعتماد سحابية ومفاتيح API وأسرارًا أخرى ^RMS. ثم انتقل إلى بيئة إنتاجية تشمل MySQL و Alibaba Nacos، مستخدمًا بيانات الاعتماد المسروقة ووصول Nacos للتعمق أكثر في الشبكة ^MSI. قام الوكيل أيضًا بتفريغ قاعدة بيانات Postgres الخاصة بـ Langflow، ومسح الخدمات الداخلية، وجرد مخزن كائنات MinIO باستخدام بيانات الاعتماد الافتراضية، وإنشاء استمرارية عبر إشارة cron ^M.

تشفير قاعدة البيانات — AES_ENCRYPT في MySQL بدون مفاتيح قابلة للاسترداد

وصل الوكيل إلى قاعدة بيانات MySQL الإنتاجية وقام بتشفير جميع عناصر تكوين خدمة Nacos البالغ عددها 1,342 باستخدام دالة AES_ENCRYPT المضمنة في MySQL، ثم حذف البيانات الأصلية ^MSI. أظهر تحليل Sysdig أن الوكيل لم يحتفظ بمفتاح تشفير قابل للاستخدام بعد تنفيذ العملية، مما جعل الاسترداد عبر دفع الفدية غير موثوق أو مستحيل ^MSI.

ملاحظة الفدية

تم ترك ملاحظة فدية بالبيتكوين على النظام المخترق، تطالب بدفع مبلغ لاستعادة البيانات ^MSI. ومع ذلك، نظرًا لتخلص الوكيل من مفتاح التشفير حسب ما ورد، لم يكن بإمكان طلب الفدية توفير مسار موثوق للاسترداد ^MSI.

أربعة خطوط أدلة تشير إلى أن العملية كانت مدفوعة بالـ LLM

حددت Sysdig مؤشرات سلوكية تشير إلى عملية مدفوعة بالـ LLM بدلاً من مشغل بشري ^TMSI:

1. تعليقات باللغة الطبيعية في الحمولات — احتوت استعلامات SQL ونصوص Python المحقونة على تعليقات مطولة وشبيهة بالمحادثة تشرح ما يفعله الكود باللغة الإنجليزية البسيطة ^MSI. اعتبرت Sysdig هذا الأسلوب الوثائقي الذاتي متسقًا مع الأكواد المولدة بواسطة LLM ^MSI.
2. تصحيح الأخطاء بسرعة آلية — عندما يعيد أمر خطأ، يعيد الوكيل المحاولة بحمولة مصححة بسرعة آلية — أسرع بكثير من النشاط البشري العادي على لوحة المفاتيح ^TMSI. أظهرت السجلات توليدًا تكيفيًا وليس مجرد إعادة تشغيل لبرنامج نصي ثابت ^T. في إحدى الحالات، تم إصدار إصلاح يعمل بعد 31 ثانية فقط من فشل تسجيل الدخول .
3. التكيف الفوري — غير الوكيل منهجه ديناميكيًا بناءً على استجابات الهدف، بما في ذلك تكييف الحمولات في الوقت الفعلي لمواصلة الاختراق والوصول إلى قاعدة البيانات ^TMSI. وصفت Sysdig هذا السلوك كدليل على التشغيل الوكيل المستقل ^T.
4. التكلفة التشغيلية شبه المعدومة عبر بيانات الاعتماد المسروقة — استفاد الوكيل من بيانات الاعتماد المسروقة، بما في ذلك مفاتيح مزود LLM أو السحابة، كجزء من سلسلة الاختراق ^RMS. وصفت Sysdig والتقارير ذات الصلة العملية بأنها تتطلب بنية تحتية أو تكلفة تشغيلية مباشرة ضئيلة مقارنة بالاختراق التقليدي اليدوي ^MS.

توصيات دفاعية من Sysdig

تم استخلاص التخفيفات التالية من تقرير Sysdig والتغطية الإعلامية لنتائجهم ^MSI:

• تصحيح Langflow فورًا — الترقية إلى Langflow 1.3.0 أو أحدث لإغلاق CVE-2025-3248 ^N.
• تقييد نقطة النهاية /api/v1/validate/code — إذا تأخرت الترقية، ضع نقطة النهاية خلف مصادقة أو قاعدة WAF لتقليل التعرض للاستغلال غير الموثوق ^NMS.
• تدقيق وتدوير بيانات الاعتماد المكشوفة — افحص خوادم Langflow ومثيلات Nacos وأدوات الذكاء الاصطناعي/التعلم الآلي الأخرى المكشوفة التي قد تكون سرّبت بيانات اعتماد سحابية أو API أو قاعدة بيانات ^RMS.
• تطبيق التقسيم الشبكي — عزل خوادم الذكاء الاصطناعي/التعلم الآلي ومخازن التكوين مثل Nacos وقواعد البيانات الإنتاجية بحيث لا يتمكن مضيف واحد مخترق من الانتقال مباشرة إلى قاعدة البيانات ^MSI.
• تفعيل مراقبة نشاط قاعدة البيانات (DAM) — التنبيه على استدعاءات AES_ENCRYPT الجماعية، أو عبارات SQL غير المعتادة من عملاء غير بشريين، أو أنماط الخطأ وإعادة المحاولة السريعة ^MSI.
• تنفيذ كشف وقت التشغيل للسلوك الوكيل — راقب مجموعات من تصحيح الأخطاء السريع، والتعليقات المطولة باللغة الطبيعية في البرامج النصية، وجمع بيانات الاعتماد من أدوات الذكاء الاصطناعي/التعلم الآلي بتتابع سريع ^TMSI.
• لا تعتمد على وعود فك تشفير الفدية — نظرًا لأن العملية الوكيلة المستقلة قد تتخلص من مفاتيح التشفير، فإن دفع الفدية لا يضمن الاسترداد. تظل النسخ الاحتياطية غير القابلة للتغيير واللقطات غير المتصلة بالإنترنت أمرًا بالغ الأهمية ^MSI.