JadePuffer 勒索软件使用 AI 智能体自动化整个攻击过程

研究人员识别出他们认为是首个有记录的案例——JadePuffer，一次完全由大语言模型智能体执行的勒索软件操作。
根据云安全公司 Sysdig 的说法，JadePuffer 使用自主 AI 智能体对目标进行侦察、窃取凭证、横向移动、建立持久性、提升权限以及加密数据。
研究人员表示，该 AI 智能体在入侵过程中会适应失败情况，就像人类操作员处理障碍一样。
Sysdig 表示："该操作还能实时调整，在优化后的参数内重试失败的步骤。在一个序列中，它从一次失败的登录到成功修复仅用了 31 秒。"
从初始访问到加密
JadePuffer 通过利用 CVE-2025-3248 获得对目标的初始访问权限，这是 Langflow（一个用于构建 LLM 应用的流行开源框架）中的一个未认证远程代码执行漏洞。
供应商于 2025 年 4 月 1 日修复了该漏洞，同年 5 月初，CISA 将其标记为已被利用于针对互联网暴露端点的攻击中，这些端点通常加固程度最低，但包含云凭证和 API 密钥。
通过 CVE-2025-3248 获得代码执行后，AI 智能体转储了 Langflow 的 PostgreSQL 数据库，收集了主机信息，搜索了环境变量和敏感文件，检索了凭证，并枚举了 MinIO 对象存储。
Sysdig 强调了在枚举 MinIO 时的自适应方法：如果一个 API 请求返回的是 XML 而非 JSON，下一个载荷会相应地调整其解析逻辑。
JadePuffer 还通过在服务器上安装 cron 作业在 Langflow 主机上建立了持久性，该作业配置为每 30 分钟向攻击者的基础设施发送信标。
从 Langflow 实例出发，攻击者使用 root 凭证（Sysdig 无法确定其来源）横向移动到了运行 Alibaba Nacos 的生产 MySQL 服务器。
Nacos 被多个载荷攻击，其中包括一个利用 CVE-2021-29441 的载荷，这是一个身份验证绕过漏洞，可创建恶意管理员账户。
该智能体探测了容器逃逸方法并部署了勒索软件载荷。据研究人员称，JadePuffer 在删除原始数据之前加密了 1,342 个 Nacos 服务配置项。
Sysdig 描述道："捕获的载荷显示，该智能体使用 MySQL 的 AES_ENCRYPT() 加密了所有 1,342 个 Nacos 服务配置项，删除了原始的 config_info 和 history 表，并创建了一个勒索表 (README_RANSOM)，其中包含勒索要求、一个比特币支付地址和一个 Proton Mail 联系方式。"
加密函数
勒索信声称数据是使用 AES-256 算法加密的，尽管研究人员认为这有些夸大其词，更可能使用的是较弱的 AES-128-ECB。
Sysdig 提到，加密密钥是随机生成的，但并未存储或传输给攻击者。
勒索信中列出的比特币地址是一个在公开文档中广泛使用的示例地址，这可能是 LLM 从训练数据中复制的结果。
其他表明 AI 控制攻击的迹象包括：生成的代码中包含描述操作推理的详细自然语言注释，以及快速攻击迭代考虑了遇到的特定错误，而不仅仅是简单的重试。
快速迭代步骤
Sysdig 总结道，JadePuffer 的案例表明，"智能体威胁行为者"的时代已经到来，降低了实施破坏性网络攻击所需的技能门槛。
同时，鉴于当前 AI 智能体的运作方式，LLM 生成的载荷也为安全解决方案创造了新的检测机会。