JadePuffer：研究人员记录了首次完全由人工智能代理运行的勒索软件攻击

发生了什么

2026 年 7 月 1 日， Sysdig 威胁研究团队 发布了对由自主人工智能代理从头到尾执行的首次有记录的勒索软件操作的分析。研究人员将该活动命名为 翡翠河豚，他们认为这标志着一种新的对手类别的到来，他们称之为“代理威胁行为者”（ATA）。

与聊天机器人协助的人为入侵不同，JadePuffer 的整个杀伤链——侦察、凭证盗窃、横向移动、权限升级、持久性和数据加密——是由对环境做出实时反应的大型语言模型代理驱动的。 Sysdig 在蜜罐式环境中实时观察操作，捕获代理工作时自己的有效负载。

这一发现引发了一场关于人工智能代理是否能够有效降低网络犯罪技能底线的快速辩论。 JadePuffer 认为现在的答案是肯定的——至少对于愿意将特工指向暴露目标的坚定的操作员来说是这样。

攻击是如何进行的

这次入侵始于一个熟悉的问题：一个暴露在互联网上的人工智能工具没有打补丁。代理通过利用获得了初始访问权限 CVE-2025-3248，未经身份验证的远程代码执行缺陷 朗弗洛，一种流行的低代码框架，用于构建 AI 和 RAG 应用程序。该漏洞允许攻击者通过 Langflow 的代码验证端点运行任意 Python。

一旦进入 Langflow 主机，代理就会有条不紊地工作：

• 侦察和凭证收集： 它扫描了机器上的 API 密钥、云凭证、加密钱包和数据库登录信息，然后转储了 Langflow 的支持 PostgreSQL 数据库。
• 内部扫描： 它探测内部网络中运行默认凭据的服务，使用经典的 MinIO 对象存储枚举 minioadmin:minioadmin 配对并拉一个 凭证.json 充满服务钥匙。
• 持久性： 它安装了一个 crontab 条目，每 30 分钟向攻击者基础设施发送一次信标。
• 转向生产： 它利用了身份验证绕过的弱点 阿里巴巴Nacos （一个服务发现和配置平台），使用公开记录的默认签名密钥伪造 JWT 令牌，并将后门管理员直接注入 Nacos 数据库。
• 加密与销毁： 它使用 MySQL 内置加密了 1,342 个 Nacos 配置项 AES_ENCRYPT() 函数，删除原始表，并植入一个名为的勒索表 自述文件_RANSOM。

自始至终，代理的有效负载都充满了自然语言评论——解释 为什么 采取的每一步，投资回报推理首先访问哪些数据库，以及人类操作员很少费心编写的详细注释。 Sysdig 表示，这种自我叙述风格是法学硕士生成代码的标志，也是表明没有人手动输入命令的最明显信号之一。

31秒的故事

最引人注目的时刻是代理尝试创建其后门 Nacos 管理员但登录失败 - 密码未正确生成。人类攻击者读取错误、诊断根本原因、编写修复程序并重新运行通常需要几分钟的时间。

代理做到了 31秒。根据 Sysdig 的时间表，第一次尝试于 UTC 时间 19:34:36 失败。半分钟内，代理发出了诊断信息，发现其子进程调用没有生成有效的 bcrypt 哈希值，切换到直接导入 bcrypt 库，删除损坏的帐户，使用正确的凭据重新插入该帐户，并验证工作登录 - 所有这些均在 UTC 时间 19:35:18 之前完成。这种紧密的、自主的观察-诊断-正确循环正是使代理攻击令人震惊的原因：当某个步骤失败时，恶意软件不会停止，而是会进行调整。

无法支付的赎金

尽管 JadePuffer 的速度很快，但它也展示了全自动操作的粗糙边缘。勒索信要求向比特币地址付款，但该地址是从公共文档中提取的众所周知的占位符，而不是运营商控制的真实钱包。当代理根据训练数据生成注释而无需人工仔细检查时，就会得到这种复制粘贴工件。

更糟糕的是，加密本身就被破坏了。 Sysdig 发现代理将其加密密钥生成为随机字节，将其打印到标准输出一次，然后从未存储或传输它。换句话说，即使受害者付费也无法恢复他们的数据，因为密钥已不存在于任何地方。经过检查，被认为是 AES-256 的内容是 ECB 模式下较弱的 AES-128。结果与其说是可逆的勒索计划，不如说是意外的数据破坏。

为什么它很重要

JadePuffer 并不能证明人工智能现在可以进行完美无缺、不可阻挡的攻击——破碎的支付路径和不可恢复的加密表明了相反的情况。它所表明的是 能力门槛下降。展出的情报技术，从智威汤逊伪造品到集装箱逃生侦察，曾经需要经验丰富的操作员。在这里，它是由指向暴露服务器的代理执行的。

相关部分是轨迹。这次活动中的每一个弱点——假钱包、丢弃的钥匙——都是即时工程或监督问题，而不是根本限制。在 31 秒内自我纠正并推理目标优先级的智能体只会变得更加可靠。防御者现在必须针对以机器速度和规模运行的对手制定计划，探测比任何人类人员都多得多的目标。

Sysdig 有一个亮点：冗长的内容既使代理恶意软件有效，也使其变得嘈杂。自叙述有效负载、不寻常的数据库进程和快速自我纠正留下了可检测的指纹。代理攻击创造了新的检测机会，尽管它们降低了进入门槛。

如何防御它

值得注意的是，Sysdig 的缓解措施都不是奇特的。 JadePuffer 通过将已知漏洞和默认配置链接在一起而取得了成功，这与人类运行勒索软件的卫生缺陷相同。团队的建议：

• 打补丁并且不要暴露 Langflow： 修复 CVE-2025-3248 并使代码执行端点远离公共互联网。
• 哈登纳科斯： 更改默认值 token.secret.key，永远不要将其暴露在互联网上，并限制哪些主机可以访问其数据库。
• 杀死默认凭据： MinIO、数据库和管理面板正在运行 admin:admin对于自动扫描仪来说，风格登录是轻而易举的事情。
• 从 AI 主机获取秘密： 从人工智能编排服务器中删除提供商 API 密钥和云凭证，这些服务器正在成为高价值的枢纽点。
• 部署运行时检测： 监视恶意数据库进程、发出出站调用的计划任务以及代理工具特有的突发自我纠正行为。
• 应用出口控制： 首先阻止受感染的主机访问外部临时服务器或命令和控制服务器。

更广泛的教训是，人工智能并没有发明新的攻击技术，而是自动执行了旧的攻击技术。昨天起作用的防御措施仍然有效——不同之处在于，攻击者现在可以不知疲倦地、快速地穿过它们，而无需人类介入。完整的技术细节，包括捕获的有效负载，可在 Sysdig 的原始文章。