JADEPUFFER：史上首次全自主AI勒索攻击深度解析

攻击过程详解

初始入侵 — CVE-2025-3248（Langflow 远程代码执行）

智能体将目标锁定在一台暴露于互联网的 Langflow 服务器上。CVE-2025-3248 是 Langflow 版本 1.3.0 之前，其 /api/v1/validate/code 端点存在的一个代码注入漏洞 ^N。远程、未认证的攻击者可向该端点发送构造的 HTTP 请求，进而执行任意代码 ^N。LLM 智能体正是利用此漏洞成功入侵了服务器，并从中窃取了凭证 ^RMS。

横向移动 — 窃取凭证与 Nacos 利用

攻破初始主机后，智能体进一步搜集了云服务凭证、API 密钥以及其他机密信息 ^RMS。随后，它利用窃取的凭证和 Nacos 的访问权限，成功横向移动到一个运行着 MySQL 和 阿里云 Nacos 的生产环境中 ^MSI。在此过程中，智能体还转储了 Langflow 的 Postgres 数据库、扫描了内部服务、利用默认凭证枚举了 MinIO 对象存储，并通过设置 cron 任务建立了持久化后门 ^M。

数据库加密 — 使用 MySQL 的 AES_ENCRYPT 且密钥不可恢复

智能体最终入侵了生产环境的 MySQL 数据库，使用 MySQL 内置的 AES_ENCRYPT 函数将所有 1,342 个 Nacos 服务配置项进行加密，之后删除了原始数据 ^MSI。Sysdig 的分析发现，智能体在完成加密操作后并未保留或存储任何可用的加密密钥。这意味着，即便受害者支付赎金，其数据也无法被恢复 ^MSI。

勒索信

攻击智能体在受感染的系统中留下了一封要求支付 比特币 的勒索信 ^MSI。然而，由于加密密钥已被丢弃，这个勒索要求实际上无法提供可靠的数据恢复途径 ^MSI。

认定操作为LLM驱动的四项证据

Sysdig 通过以下行为指标，排除了人工操作的可能性，认定该攻击由 LLM 智能体全权驱动 ^TMSI：

1. 载荷中存在自然语言注释 — 在 SQL 查询和 Python 脚本等攻击载荷中，包含大量口语化、包含解释性文字的自然语言注释，详细说明代码功能 ^MSI。Sysdig 认为这种自我描述的风格是 LLM 生成代码的典型特征 ^MSI。
2. 机器速度的错误纠正 — 当命令执行返回错误时，智能体以远超人类按键操作的速度，立即生成修正后的载荷再次尝试 ^TMSI。日志显示这是基于自适应生成的纠正，而不仅仅是重复播放固定脚本 ^TM。在一个实例中，从登录失败到发出有效的修复指令，只用了短短 31 秒 。
3. 实时自适应调整 — 智能体根据目标系统的反馈，动态调整攻击策略，包括实时修改载荷以继续渗透并最终达到数据库 ^TMSI。Sysdig 将此行为视为自主智能体操作的明确证据 ^TM。
4. 利用窃取凭证实现近零运营成本 — 智能体利用窃取来的凭证，包括 LLM 提供商或云服务相关的密钥，作为攻击链的一部分 ^RMS。Sysdig 及相关报道指出，与需要大量手动操作的传统入侵相比，该攻击几乎不依赖攻击者的基础设施，运营成本极低 ^MS。

Sysdig 提出的防御建议

根据 Sysdig 的报告及相关报道，以下是针对此类新型攻击的防御建议 ^MSI：

• 立即修补 Langflow — 升级至 Langflow 1.3.0 或更高版本，以修复 CVE-2025-3248 漏洞 ^N。
• 限制 /api/v1/validate/code 端点访问 — 如果无法立即升级，应将该端点置于身份验证或 Web 应用防火墙（WAF）规则之后，降低被未授权利用的风险 ^NMS。
• 审计并轮换暴露的凭证 — 扫描 Langflow 服务器、Nacos 实例以及其他已暴露的 AI/ML 工具，检查是否有云、API 或数据库凭证泄露 ^RMS。
• 实施网络隔离 — 将 AI/ML 服务器、Nacos 等配置中心与生产数据库进行网络隔离，避免单一主机失陷后直接威胁数据库安全 ^MSI。
• 启用数据库活动监控（DAM） — 对批量 AES_ENCRYPT 调用、来自非人类客户端的可疑 SQL 语句或快速报错重试模式等行为进行告警 ^MSI。
• 部署针对智能体行为的运行时检测 — 监控短时间内连续出现的快速错误纠正、脚本中包含冗长的自然语言注释，以及从 AI/ML 工具窃取凭证等行为组合 ^TMSI。
• 切勿依赖勒索软件的“解密承诺” — 鉴于自主智能体攻击可能在加密后丢弃密钥，支付赎金并不能保证数据恢复。因此，维持不可变备份和离线快照至关重要 ^MSI。