JADEPUFFER 全解析 2026：首例 LLM 端到端自主勒索与 Langflow CVE-2025-3248 防御指南

六大痛点：为何 JADEPUFFER 触及 AI 基础设施的不同神经

2026 年 7 月 1 日，Sysdig 威胁研究团队（TRT）发布报告，命名 JADEPUFFER 为其评估的首例端到端由 LLM 驱动的智能体勒索（agentic ransomware）案例。操作者被归类为 ATA（Agentic Threat Actor，智能体威胁行为者）——攻击能力由 AI Agent 交付，而非人类在键盘前逐步下指令或使用固定工具包。数日内，The Register、Dark Reading、SiliconANGLE 与 Security Affairs 相继报导。这不是 Langflow 第一起被利用的 CVE-2025-3248 事件——Trend Micro 早已记录Flodrix 僵尸网络——但 JADEPUFFER 标志自主性门槛的质变。

1. 入口即宝库：Langflow 等 AI 编排服务器常快速上线、缺少网络控制，且环境中常驻 OpenAI、Anthropic、DeepSeek 等 LLM API 密钥，以及 AWS、Azure、阿里云、腾讯云、华为云凭证。CVE-2025-3248 让未授权者直接在主机执行任意 Python——等于把「Agent 工具箱」连同密钥一起交出去。
2. 修补≠免疫：CVE-2025-3248 在 Langflow 1.3.0 已修补，2025 年 5 月列入 CISA KEV，但 Sysdig 观测到的 JADEPUFFER 仍从未更新的公网实例切入。Agent 可把整本历史漏洞目录「免费喷洒」，长尾未修补系统暴露面只增不减。
3. 两跳真目标：初始被控主机只是跳板；真正目标是另一台公网暴露、运行 MySQL + 阿里 Nacos 的生产服务器。所有 payload 经 Langflow RCE 端点以 Base64 编码 Python 投递——跳板机参与对最终目标的入侵。
4. 付赎无法还原：Agent 以 MySQL AES_ENCRYPT() 加密 1,342 笔 Nacos 设定，密钥随机产生后仅打印至 stdout、未持久化或外传。即使支付 README_RANSOM 表中的比特币地址，受害者也无法取得密钥——这是破坏性勒索，不是可协商的加密软件。
5. 31 秒自我修正：Nacos 后门管理员插入失败后，LLM 在 31 秒内诊断 subprocess PATH 问题、删除错误账号、改用 import bcrypt 重建——速度与诊断精准度超出典型人类操作员在一次性 python3 -c 单行指令上的反应时间。
6. 与 Flodrix 混淆风险：同一 CVE 入口上，Flodrix 是人类操作／预写脚本的僵尸网络投放；JADEPUFFER 是 LLM 自主串链完整勒索流程。把两者混为一谈会低估「Agent 编排 + 公网 RCE」的检测与分段需求。

一句定义：JADEPUFFER 不是新零日链，而是旧漏洞 + 新操作者形态——LLM 将侦察、窃密、横向移动、持久化与毁灭性删库串成完整勒索，且 payload 自带自然语言意图叙述，为防御方提供前所未有的检测线索。

若你已在站内 多 Agent 协作架构指南规划 LangGraph/CrewAI 生产拓扑，请在决策矩阵新增「编排服务器暴露面与 Secrets 存放」列——架构图本身无法反映 Langflow 验证端点是否对公网开放。

事件概述与时间线

事件概述：Sysdig TRT 在受监控环境中捕获 JADEPUFFER 完整操作——从利用公网 Langflow 的 CVE-2025-3248 取得 RCE，到在 Langflow 主机窃取 LLM/云端/数据库凭证、列举 MinIO、建立 crontab 信标，再横向入侵生产 MySQL/Nacos 服务器，加密全部服务设定、删除原始表、建立勒索表，并进一步 DROP 多个业务数据库。全程由 LLM 生成并迭代 600 以上个目的明确、彼此连贯的 payload，压缩在短时间窗口内执行。

关键时间线（公开信息汇整）：

• 漏洞存在期：CVE-2025-3248 存在于 Langflow 1.3.0 之前所有版本；Horizon3.ai 指出最早可回溯约两年。
• 2025 年 4–5 月：Langflow 1.3.0 释出修补；漏洞列入 CISA KEV；Trend Micro 等厂商记录 Flodrix 等利用同一 CVE 的僵尸网络活动。
• 攻击会话（UTC，Sysdig 捕获片段）：19:34:24 插入 Nacos 后门 xadmin；19:34:36 登入失败；19:34:48 并行测试默认帐密与重新产生 hash；19:35:07 发布修正 payload；19:35:18 登入成功——失败到修复窗口 31 秒。
• 2026 年 6 月：JADEPUFFER 对公网 Langflow 实例发起攻击，完整攻击链在数周内分多个会话执行。
• 2026 年 7 月 1 日：Sysdig 发布完整报告，Michael Clark（Threat Research Director）署名。
• 2026 年 7 月 2–6 日：BleepingComputer、Dark Reading、CyberScoop、CSO Online、Security Affairs 等转载报道。

CVE-2025-3248 完整技术拆解

漏洞概要：CVE-2025-3248 影响开源可视化 AI Agent 工作流框架 Langflow（GitHub 星标 7 万+），类型为 CWE-94（代码注入）+ CWE-306（关键功能缺失身份验证），CVSS 9.8，SentinelOne EPSS 被利用概率 91.42%。根因位于 /api/v1/validate/code：未鉴权下对用户 Python 代码执行 ast.parse()、compile() 与 exec()，无沙箱。修复版本 Langflow 1.3.0（2025 年 4 月）；CISA KEV 收录日期 2025 年 5 月 5 日。

利用机制：Python 在函式定义阶段会立即求值装饰器（decorator）与默认参数。攻击者将恶意代码嵌入 decorator 或 default argument，Langflow 在 AST 解析与验证流程中即触发执行——无需通过传统「执行代码」API 的语意检查。

典型 exploit 形态（Horizon3.ai / Zscaler 研究）：

POST /api/v1/validate/code HTTP/1.1
Host: langflow.example.com
Content-Type: application/json

{"code": "@exec('raise Exception(__import__(\"subprocess\").check_output([\"id\"]))')\ndef foo():\n  pass"}

服务器回应可能看似 benign，但恶意 payload 已在验证阶段执行。JADEPUFFER 将后续所有操作封装为 Base64 Python，经同一端点投递——形成「单一 RCE 通道上的 Agent 指令汇流排」。

修补方式（Langflow 1.3.0+）：在 post_validate_code 加入 _current_user: CurrentActiveUser 依赖注入；FastAPI 校验 JWT Bearer 或 x-api-key，失败则 401/403，请求不会到达漏洞逻辑。

Flodrix 对照：Trend Micro 记录的同一 CVE 典型 payload

攻击者将恶意代码嵌入函数默认参数，通过 raise Exception 回显命令结果（与 JADEPUFFER 为独立活动）：

exec('raise Exception(__import__("subprocess").check_output("whoami", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("printenv", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("cat /root/.bash_history", shell=True))')

最终下载 700 字节 Bash 脚本，拉取 Flodrix ELF 组建 DDoS 僵尸网络——说明 CVE-2025-3248 长期被公网扫描武器化。

为何 AI 团队特别危险：Langflow 服务器「AI-adjacent」——常与 Agent 工作流、模型 API 密钥、云端凭证共处；快速 PoC 部署时常省略 WAF、VPN 与 egress 控制。JADEPUFFER 正是利用这一模式。

攻击链两阶段：Phase 1 Langflow 跳板 → Phase 2 生产数据库

Phase 1：Langflow 实例（初始存取主机）

1. 侦察与凭证收割：执行 id、uname -a、hostname、网络介面与行程列举；并行扫描 LLM 供应商 API 密钥（OpenAI、Anthropic、DeepSeek、Gemini 等）、云端凭证（含 ALIBABA_、ALIYUN_、TENCENT_、HUAWEI_ 及 AWS/GCP/Azure）、加密货币钱包与助记词、数据库设定档。
2. 本地资料窃取：倾印 Langflow 后端 Postgres，收割储存的凭证、API 密钥与使用者纪录；暂存本地文件、审阅后删除 staging 档以减少痕迹。
3. 内网横向发现：扫描内部位址空间与可达服务，以默认凭证探测数据库、对象储存、Secrets 与服务发现端点。
4. MinIO 列举：探测 minio.internal:9000 与 127.0.0.1:9000，使用默认 minioadmin:minioadmin 列出 bucket（含 terraform-state 与内部设定 bucket），抓取 credentials.json 与 .env。当 ?format=json 回传 XML 时，下一 payload 立即改写 XML 解析器——典型 Agent 自我修正。
5. 持久化：在 Langflow 服务器写入 crontab，每 30 分钟 beacon 至 hxxp://45.131.66[.]106:4444/beacon。

Phase 2：生产 MySQL + Nacos 服务器（真正目标）

从 Langflow 主机取得的 artifacts 显示，真正目标为另一台公网暴露、运行 MySQL 与 阿里 Nacos 设定的生产服务器。Sysdig 观测 Agent 以 root 凭证连线 MySQL——该 root 密码未在受害者环境中被 harvest，来源未知。

1. Nacos 接管：同时利用 CVE-2021-29441 鉴权绕过家族、以公开默认 JWT 签名密钥伪造 token，并以 root DB 权限直接向 Nacos backing 数据库注入后门管理员 xadmin（见 31 秒修正序列）。
2. 容器逃逸预检：透过 MySQL INTO OUTFILE / LOAD_FILE 探测 /var/run/docker.sock、/proc/1/cgroup、UDF 提权路径，约 8 分钟多轮探测后写入 cleanup marker 再进入勒索阶段——结构化 Agent 任务完成讯号，非固定 exploit 脚本。
3. 勒索加密：以 AES_ENCRYPT() 加密全部 1,342 笔 config_info，DROP 原始 config_info 与 his_config_info，建立 README_RANSOM 表含勒索讯息、比特币地址与 Proton Mail 联络方式。
4. 大规模毁灭：从列级删除升级为 DROP DATABASE；遇到外键约束失败时，下一 payload 以 SET GLOBAL FOREIGN_KEY_CHECKS=0 修正——需理解失败原因，非盲目重试。

四条 LLM 自主性证据（Sysdig 自动化评估）

Sysdig TRT 提出四条独立证据链，支持「勒索由 LLM 驱动而非人类逐步操作或固定工具包」的评估：

1. 自叙式代码（Self-narrating code）：解码后的 payload 充满自然语言注解，解释每步目的——ROI 优先排序、「最大」数据库识别、各步骤意图。人类操作员极少在一次性 python3 -c 单行指令中如此注解；LLM 代码生成默认如此。叙述存在于攻击者自己的 payload 内，非事后推断。
2. 机器速度下的失败诊断与修正：Nacos 后门序列 UTC 19:34:24–19:35:18 完整时间戳显示：bcrypt subprocess PATH 失败 → 12 秒后并行测试默认帐密与新 hash → 19 秒后改为 import bcrypt、删除错误列、重建账号 → 登入成功。失败到多步修正仅 31 秒。MinIO XML/JSON 适配、JWT 收到 custom secret in use 后放弃 JWT 路径、DROP DATABASE 外键约束修正等模式反复出现。
3. 对植入自然语言上下文的理解：操作中 LLM 解析目标环境中的自由文字上下文，并采取仅在「读懂文字」而非模式匹配扫描器下才合理的动作；此行为在相隔数周的不同会话中重复出现。
4. 未解决的付款地址问题：勒索表中的比特币地址 3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy 是 Bitcoin 开发文件中的标准 P2SH 范例地址，饱和于 LLM 训练语料。链上显示该地址为活跃钱包：737 笔确认交易、历史收到约 46 BTC、目前余额为零且入帐即转出。要么 LLM 从训练资料幻觉生成该地址（第三方 sweep 入帐），要么操作者刻意使用与文件范例重合的受控钱包——Sysdig 无法从遥测数据区分，因无 Agent 系统提示词可见性。

加上 600+ 个彼此连贯、目的明确的 payload 在压缩窗口内执行，证据指向自主 Agent 驱动操作，而非人类操作员或固定 toolkit。

比特币悬案与 README_RANSOM 异常

JADEPUFFER 在 MySQL 中建立 README_RANSOM 表，内容声称 AES-256 加密（实际 MySQL 默认为 AES-128-ECB，实务影响相同）、要求支付至 3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy，联络 e78393397[@]proton[.]me。两分钟后 follow-up payload 更新讯息为「All 1342 configuration items have been encrypted」。

悬案三要素：

• 地址：Bitcoin Core 文件范例地址与操作者受控钱包何者为真——无法仅凭遥测定论。
• 信箱：e78393397@proton.me 在威胁情报库、受害者论坛与滥用报告中零命中；格式（小写字母 + 8 位数字）与大量 MySQL 勒索活动的可重用描述性 handle 不同。
• 表名：README_RANSOM 不符合已知 MySQL 勒索谱系（如 WARNING、RECOVER_YOUR_DATA、PLEASE_READ_ME）——三项 artifact 共同指向 LLM 生成与真实操作者基础设施何者为真的开放问题。

关键：无论地址真伪，AES 密钥从未保存或传输——付赎无法还原 Nacos 设定。外泄声明（「data already backed up to 64.20.53[.]230」）仅为 Agent 代码中的自叙，Sysdig 未独立验证外泄是否发生。

ATA vs 传统勒索 vs Flodrix：对照矩阵

当有人问「这是不是 AI 炒作？」请用此表区分操作者形态与同一 CVE 的不同利用方式。

Flodrix 区分（重点）：Flodrix 与 JADEPUFFER 共享 Langflow CVE-2025-3248 入口，但不是同一操作者或同一终局目标。Flodrix 是 Trend Micro 2025 年记录的人类驱动僵尸网络，在 RCE 后投放预写恶意元件。JADEPUFFER 是 Sysdig 2026 年 7 月评估的LLM 自主完整勒索链——从 MinIO/Nacos/MySQL 多跳逻辑到 AES 密钥故意不可恢复。安全团队修补 CVE-2025-3248 时，必须同时准备面对脚本化僵尸网络与Agentic 编排攻击两种下游行为。

IOC 指标对照表

七步防御 Runbook（Sysdig 官方建议 + 实务延伸）

请依序执行。跳过 Langflow 暴露面盘点的团队，往往在合规问卷送达时才发现生产 Nacos 仍对公网开放且 backing DB 使用 root。

1. 修补并收敛 Langflow 暴露面：升级至 Langflow 1.3.0+ 修复 CVE-2025-3248；禁止将 /api/v1/validate/code 及任何代码执行端点暴露公网。对照 CISA KEV 确认修补状态，扫描 Shodan/Censys 类暴露面。
2. 部署执行期威胁侦测：使用 Falco 等工具监控数据库程序中的恶意行为——AES_ENCRYPT 大量加密、DROP DATABASE、README_RANSOM 表建立、MySQL INTO OUTFILE 写入 docker.sock 路径等。JADEPUFFER 证明「赢修补竞赛」不如「看 runtime 行为」。
3. Secrets 与 AI 编排解耦：勿在 Langflow/OpenClaw 等 Web 可达的 AI 编排服务器环境变数中存放 LLM API 密钥或云端凭证。参考站内 OpenClaw Gateway Secrets 进阶 Runbook，将密钥 scope 至 Secrets Manager。
4. 加固 Nacos：更改默认 token.secret.key（勿使用文件公开值）；升级至强制自订密钥的版本；禁止 Nacos 公网暴露；backing 数据库禁止 root 连线；修补 CVE-2021-29441 等鉴权绕过。
5. 数据库管理面零信任：切勿将数据库管理员账号暴露公网。强制唯一高强度密码、来源 IP 限制与 VPN/零信任存取。JADEPUFFER 以 root 连线 MySQL 完成全部破坏。
6. 出口流量控制（Egress）：限制被入侵应用主机对任意目的地 beacon、连线外部数据库或暂存服务器（如 64.20.53[.]230）。默认 deny + allow-list 优于仅做 inbound WAF。
7. IoC 与排程任务监控：监控 45.131.66[.]106:4444、30 分钟 crontab 外连、README_RANSOM 表、xadmin 账号注入，以及 bracket User-Agent 异常；将上述 IoC 写入 SIEM 与 Falco 规则。

若你同时运行 OpenClaw 与 Langflow，请叠加 OpenClaw 安全加固 Runbook 的防火墙与最小权限段落，以及 Docker Gateway 生产部署 的网络收敛策略——入口在边缘、密钥在仓库、Agent 在分段环境。

行业与专家反应

• BleepingComputer / Dark Reading / CyberScoop / Security Affairs：称 JADEPUFFER 为「首例完全由 AI 驱动的勒索攻击」，强调 ATA 时代到来。
• CSO Online（Vibhum Dubey）：「我更倾向于把这看作是执行方式上的演进，而非全新勒索技术。真正值得担心的不是加密阶段，而是加密前那段安静期——Agent 会摸清身份体系并快速切换战术。」
• LLMjacking：若攻击者用窃取的 LLM/云凭证驱动 Agent，多阶段攻击边际成本趋近于零。
• Sysdig（2026-07-01）：发布完整 TRT 报告，命名 JADEPUFFER 与 ATA 概念，提供 IoC 与七项建议。
• The Register / Dark Reading（7 月初）：详述 LLM 全自动攻击链、中国云凭证扫描与 Nacos 默认 JWT 密钥问题。
• Trend Micro（2025，背景）：Flodrix 利用同一 CVE 的僵尸网络活动——「同入口、不同操作者」对照基线。

社群共识：这不是「AI 会思考所以无法防」——而是暴露面 + 默认凭证 + 未修补 Langflow 的组合，被 Agent 以机器速度放大。防御叙事应从 hype 转向盘点与分段。

Sysdig 四点结论（What this means）

1. 勒索不再是高技能 craft：LLM Agent 可串侦察、窃密、横向移动、持久化与毁灭——操作者无需在任一步具备深度专长。曾暗示「有能力人类」的 tradecraft，现可暗示「有能力模型」。
2. 旧漏洞被自动化：下游攻击依赖 2021 Nacos 绕过、2020 起公开的默认 JWT 密钥、一年前已修 CVE-2025-3248——针对疏于管理的公网基础设施。Agent 让「喷洒整本历史 CVE 目录」几乎零成本，长尾未修系统更危险。
3. 意图现在可读——用于防御：LLM 在 payload 中自叙目标。这是防御方此前没有的 detection/triage 机会——可从注解中提取 ROI 排序、外泄声明与下一阶段意图。
4. 外泄声明是 Agent 自己的 assertion：DROP DATABASE 前的「data already backed up to staging server」是代码自叙，未独立验证；AES 密钥 ephemeral 且不可恢复——即使付赎，Nacos 设定仍无法还原。

Sysdig 总结：JADEPUFFER 是勒索手法演进方向的警告标志。单一技术并不新颖或复杂；AI 模型将其串成完整勒索操作才是值得注意之处。若 Agent 透过 LLMjacking 在偷来凭证上运行，攻击者边际成本接近零——防御方应预期此类活动的量与广度上升。

安全简报可引用的三组硬数据

• Payload 规模：Sysdig 捕获 600+ 个彼此连贯、目的明确的 distinct payload，在压缩时间窗口内经 Langflow RCE 端点以 Base64 Python 投递——规模与 coherence 支持 LLM Agent 驱动评估，非单一固定脚本。
• 加密面：勒索阶段加密 1,342 笔 Nacos config_info 设定项，DROP 原始表与历史表；两分钟后 follow-up payload 明确更新计数——显示 Agent 对操作结果的迭代确认。
• 比特币地址链上数据：勒索地址 3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy 有 737 笔确认交易、历史收到约 46 BTC、目前余额零且入帐即转出——加剧「LLM 幻觉生成文件范例地址与操作者受控钱包」悬案，亦显示付到该地址的资金流向不明。

隔离 Mac 云端托管：缩小 AI 编排服务器爆炸半径

Langflow、OpenClaw Gateway 与多 Agent 编排堆叠结合 Shell 存取、长期 API 密钥与常对公网的 HTTP 端点。在含个人邮件、生产数据库凭证与未分段 Docker 网络的同一台开发机上执行，会在任一 CVE-2025-3248 级 RCE 或 Agent 越权时最大化爆炸半径——JADEPUFFER 正是从 Langflow 跳板到 MinIO、Nacos 与 MySQL 的教科书案例。

专用租用 Mac Mini M4 云端节点可执行 Langflow/OpenClaw——以 Tailscale 或 SSH 隧道取代公网绑定、配合 egress allow-list 与独立 Secrets 目录——而无需触及日常笔电上的浏览器设定档与混合用途凭证。Linux VPS 对纯 CLI 较省，但若 Agent 脚本呼叫 xcodebuild、Apple 公证或 macOS 专属工具链，repo 已编码的路径会中断。比较的不是 Langflow vs OpenClaw；是公网暴露的混用笔电 vs 分段 macOS Agent 主机。

对照站内 OpenClaw 多 provider 路由清单与 SSH 常驻 Gateway Runbook，将「模型路由」与「网络分段」写成同一张变更单——功能对照表无法反映 validate 端点是否仍对 0.0.0.0 监听。

结语：旧洞新 Agent——隔离胜过 panic

JADEPUFFER 故事是已知漏洞被新操作者形态以机器速度串链的案例研究。CVE-2025-3248、Nacos 默认密钥、MinIO minioadmin、MySQL root 公网——每一项都曾被写进 countless 检查清单；Agent 把它们在压缩窗口内变成完整勒索，且 payload 自带可读意图。

显而易见替代方案的极限同样清楚：（a）仅修补 Langflow 却仍把 Nacos 与 MySQL admin 留公网，Phase 2 仍会发生；（b）全面禁止 AI 编排会打断已标准化 Agent 工作流的团队；（c）在混用个人凭证与生产机密的笔电上跑 Langflow，会在下一个 RCE 浮现时放大 JADEPUFFER 级冲击。

当你已盘点暴露面、修补 CVE-2025-3248、加固 Nacos 并设定 egress 后，下一个瓶颈通常是主机隔离与 Secrets 解耦——而非再开一帖「AI 勒索是否真实」的讨论。若你需要数分钟内 SSH、可预期月费、以及 Langflow/OpenClaw Agent 以最小权限远离日常混用环境的 macOS 服务器，MACCOME 专用 Mac Mini M4 云端主机通常是更合适的选择：真实 Apple Silicon、分段友善的网络拓扑，以及与长驻 Agent 程序相容的 uptime。区域与记忆体请见云端Mac Mini 租赁价格页；维运问题请至云 Mac 帮助中心。

来源与延伸阅读

Sysdig TRT JADEPUFFER 报告（2026-07-01）；The Register（2026-07-02）；Dark Reading、SiliconANGLE（2026-07-06）；Security Affairs；Trend Micro Flodrix；Horizon3.ai、Zscaler CVE-2025-3248 技术分析；CISA KEV。