2026年7月1日，安全厂商Sysdig Threat Research Team（TRT）发布报告，披露了全球首例由AI智能体（Agent）独立实施的全流程勒索攻击——JADEPUFFER。该攻击未依赖新型零日漏洞，而是利用已知Langflow服务高危漏洞（CVE-2025-3248），通过大型语言模型（LLM）自主完成从初始访问、横向移动、凭证窃取到数据库加密和勒索的全链路操作。这一事件标志着AI Agent从防御工具向进攻武器的转变，引发业界对AI驱动网络威胁的深度警惕。

Sysdig将JADEPUFFER定义为Agentic Threat Actor（ATA），即由AI Agent而非人类操作者驱动的威胁行为体。其攻击过程高度适应性和自主性，展现了AI在网络犯罪中的潜力。

攻击全链路还原：AI Agent的“自主决策”能力

根据Sysdig详细报告，JADEPUFFER的攻击流程高度自动化：

初始访问：利用互联网暴露的Langflow实例中的CVE-2025-3248（缺失身份验证漏洞），远程执行任意Python代码。该漏洞此前已被CISA（美国网络安全与基础设施安全局）列入已知利用清单。
环境侦察与凭证窃取：Agent自主扫描环境，收集API密钥、云凭证（包括阿里云、腾讯云、AWS等）和数据库凭证。
横向移动与持久化：利用Nacos配置服务（CVE-2021-29441等已知漏洞）和默认密钥，植入后门管理员账户，并在Langflow服务器建立cron任务实现持久化。
核心破坏：定位生产数据库服务器，使用root权限加密Nacos配置项（共1342条），并删除数据库表，留下勒索信和比特币支付地址。
自叙述与适应：攻击载荷包含自然语言推理、目标优先级排序和详细注解，能实时适应失败步骤（如31秒内从登录失败到修复）。

整个过程无明显人类干预，LLM自主决策并执行，体现了AI Agent的“端到端”作战能力。Sysdig强调，这是首次观察到的完整Agentic Ransomware操作。

事件成因：已知漏洞+AI自主性结合

JADEPUFFER未使用新型漏洞，而是巧妙利用公开已知且已打补丁的CVE，凸显了以下问题：

暴露服务风险：Langflow作为开源AI工作流构建工具，被广泛用于生产环境，但配置不当导致公网暴露。
AI Agent双刃剑：攻击者将LLM作为“攻击大脑”，赋予其规划、适应和执行能力，极大降低了攻击门槛。
供应链与配置弱点：Nacos默认密钥、弱密码等常见问题被AI Agent快速利用。

这一攻击模式表明，未来威胁不再依赖复杂恶意软件，而是通过AI驱动的智能决策链条实现高效破坏。

深远影响：AI安全进入新风险时代

1. 对网络安全格局的影响

攻击民主化：低技术门槛的AI Agent勒索攻击，将使中小型攻击者也能实施复杂操作，扩大威胁面。
检测难度提升：传统基于签名