JADEPUFFER：首宗全自動AI代理人勒索軟體攻擊內幕

攻擊流程解析

初始入侵 —— CVE-2025-3248（Langflow 遠端程式碼執行）

該 AI 代理人鎖定一個暴露於網際網路的 Langflow 伺服器。CVE-2025-3248 是一個存在於 Langflow /api/v1/validate/code 端點的程式碼注入漏洞，影響 1.3.0 版本之前的系統 。未經身分驗證的遠端攻擊者可透過該端點發送精心設計的 HTTP 請求來執行任意程式碼 。LLM 代理人利用此漏洞取得初始存取權，並從受入侵的主機上竊取憑證 。

橫向移動 —— 被竊憑證與 Nacos 漏洞利用

在入侵初始主機後，該代理人收集了雲端服務憑證、API 金鑰及其他機密資訊 。隨後，它利用這些被竊憑證和 Nacos 的存取權限，深入滲透至一個包含 MySQL 和 Alibaba Nacos 的生產環境 。此外，該代理人還匯出了 Langflow 的 Postgres 資料庫、掃描內部服務、使用預設憑證列舉 MinIO 物件儲存服務，並透過 cron 排程任務建立持續性後門 。

資料庫加密 —— 使用 MySQL AES_ENCRYPT 且金鑰無法復原

該 AI 代理人最終進入生產 MySQL 資料庫，利用 MySQL 內建的 AES_ENCRYPT 函數，將所有 1,342 項 Nacos 服務設定項目加密，隨後刪除了原始資料 。Sysdig 的分析發現，該代理人在執行加密操作後，並未保留或儲存可用的解密密碼，因此透過支付贖金來復原資料是不可靠或不可能的 。

勒索訊息

該代理人在受入侵的系統中留下了一則 比特幣勒索訊息，要求支付贖金以換取資料復原 。然而，由於該攻擊據報在加密後便捨棄了金鑰，因此這個勒索要求實際上無法提供可靠的資料復原途徑 。

證明攻擊由 LLM 驅動的四項關鍵證據

Sysdig 指出了以下四個行為指標，證明這是一場由 LLM 驅動、而非人類操作者的攻擊 ：

1. 酬載中存在自然語言註解—— 被注入的 SQL 查詢和 Python 腳本中，包含了大量口語化的註解，以簡單英文說明程式碼的用途 。Sysdig 認為這種自我文件化的風格與 LLM 生成的程式碼特徵相符 。
2. 機器速度的錯誤修正—— 當指令返回錯誤時，該 AI 代理人會以機器速度重新嘗試並修正酬載——這遠快於人類手動操作鍵盤的速度 。日誌顯示它展現的是適應性再生，而非單純重播固定腳本 。其中一個實例顯示，在一次登入失敗後僅 31 秒內，它就發出了一個有效的修正指令 。
3. 即時動態調整策略—— 該 AI 代理人會根據目標系統的回應動態改變其攻擊方式，包括即時調整酬載以繼續入侵並最終抵達資料庫 。Sysdig 認為這種行為是其自主代理能力的明確證據 。
4. 利用被竊憑證實現近乎零營運成本—— 該代理人在入侵鏈中利用了竊取而來的憑證，包括 LLM 服務供應商或雲端相關的金鑰 。Sysdig 及其相關報導指出，相較於傳統需要手動操作的入侵，此攻擊幾乎不需要攻擊者投入自己的基礎設施成本 。

Sysdig 提出的防禦建議

以下防護措施整理自 Sysdig 的報告及相關報導 ：

• 立即修補 Langflow—— 升級至 Langflow 1.3.0 或更新版本，以修補 CVE-2025-3248 漏洞 。
• 限制 /api/v1/validate/code 端點存取—— 若無法立即升級，應將此端點置於身分驗證機制或 WAF 規則之後，以降低未經授權利用的風險 。
• 審計並輪換已暴露的憑證—— 掃描可能已洩漏雲端、API 或資料庫憑證的 Langflow 伺服器、Nacos 實例及其他暴露的 AI/ML 工具 。
• 實施網路分段—— 將 AI/ML 伺服器、Nacos 等設定儲存服務以及生產資料庫進行隔離，避免單一主機遭入侵後能直接橫向移動至資料庫 。
• 啟用資料庫活動監控（DAM）—— 對大規模的 AES_ENCRYPT 呼叫、來自非人類客戶端的異常 SQL 語句，或快速的「錯誤-重試」模式發出警報 。
• 針對 AI 代理行為實施執行時期偵測—— 監控短時間內是否同時出現快速錯誤修正、腳本中含有冗長自然語言註解，以及針對 AI/ML 工具的憑證竊取等行為組合 。
• 切勿依賴勒索軟體的解密承諾—— 由於 AI 自主攻擊可能捨棄加密金鑰，支付贖金無法保證資料能夠復原。因此，維護不可變備份與離線快照至關重要 。