JADEPUFFER：首例 LLM 全自主勒索
Langflow 漏洞、攻擊鏈與租 Mac 安全部署

事件概述：勒索軟體有了「AI 操作員」

自勒索軟體成為威脅類別以來，鍵盤背後總有一個「人」——要麼親自操作，要麼事先寫好指令碼。JADEPUFFER 打破了這個前提：Sysdig 評估這是目前已知第一例端到端、完全由大語言模型驅動的完整勒索操作。

痛點拆解：為何與 OpenClaw / Langflow 使用者相關

1. 01

   AI 編排伺服器常存 API Key：Langflow 這類 Agent 工作流伺服器的環境變數裡往往放著 OpenAI、Anthropic、DeepSeek、Gemini 及阿里雲/騰訊雲憑證——正是 JADEPUFFER 第一階段並行掃描的目標。

2. 02

   倉促上線、直接暴露公網：很多團隊為快速驗證原型，把 Langflow / OpenClaw Gateway 直接掛在公網 IP 上，沒有訪問控制。

3. 03

   老漏洞 + 自動化武器化：CVE-2025-3248 早在 2025 年 4 月披露、5 月進 CISA KEV；Agent 讓「把歷史漏洞庫挨個噴一遍」的成本趨近於零。

4. 04

   LLMjacking 邊際成本為零：若攻擊者本身靠竊取的模型/雲憑證驅動 Agent，發起多階段攻擊的經濟門檻極低。

CVE-2025-3248：Langflow 未鑑權 RCE 完整技術分析

成因五步拆解：

1. 01

   Langflow 提供「程式碼校驗」介面，讓使用者在視覺化編排裡寫自定義函式節點時提前校驗語法。

2. 02

   實現方式：使用者程式碼 → ast.parse() → compile() → exec() 執行。

3. 03

   關鍵缺陷：完全沒有身份認證，也沒有任何沙箱隔離。

4. 04

   利用技巧：Python 裝飾器與引數預設值在函式定義時立即求值；攻擊者把惡意程式碼寫進預設引數或裝飾器，一旦 Langflow 拿去「校驗」，程式碼已在伺服器執行。

5. 05

   攻擊者無需登入、無需許可權，只需一個精心構造的 HTTP POST 即可 RCE。

exec('raise Exception(__import__("subprocess").check_output("whoami", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("printenv", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("cat /root/.bash_history", shell=True))')

重要區分：Flodrix 殭屍網路與 JADEPUFFER 是兩起獨立利用活動，共享同一漏洞入口。前者是傳統指令碼化投遞；後者才是 Sysdig 披露的「AI Agent 自主驅動」勒索。

官方補丁（1.3.0）：為 post_validate_code 新增 _current_user: CurrentActiveUser 依賴注入；FastAPI 先校驗 JWT Bearer Token 或 x-api-key，失敗直接 401/403，請求不會到達漏洞邏輯。

攻擊鏈 Phase 2：MySQL + Nacos 生產伺服器

真正目標是另一臺同樣暴露公網、執行 MySQL 與阿里巴巴 Nacos 的生產伺服器。Nacos 有鑑權繞過歷史（CVE-2021-29441 及相關變種），且預設 JWT 簽名金鑰自 2020 年起被公開文件記錄，許多部署至今未更換。

Agent 用 root 憑證直接連線暴露的 MySQL 埠——這組憑證來源不明，Sysdig 未觀察到從受害者環境竊取，可能是少數「人類預先準備」環節之一。

Nacos 後門管理員：31 秒修復閉環

容器逃逸探測（約 8 分鐘）

利用 MySQL INTO OUTFILE / LOAD_FILE 測試寫入、讀回、/var/run/docker.sock、/proc/1/cgroup、/etc/hostname 及 UDF 提權路徑。進入勒索前主動寫「完成標記」——Sysdig 指出這更像 Agent 完成任務後發出進入下一階段的訊號，而非固定指令碼行為。

破壞性加密與勒索

將全部 1,342 條 Nacos 服務配置項用 MySQL AES_ENCRYPT() 加密，刪除原始 config_info 與 his_config_info，建立勒索信表 README_RANSOM。

KEY = base64.b64encode(uuid.uuid4().bytes + uuid.uuid4().bytes).decode()
print("Encryption key:", KEY)  # 僅列印一次，從未儲存或外傳
# 建立 config_info_enc → DROP config_info → CREATE README_RANSOM
# 比特幣: 3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy
# 聯絡: e78393397[@]proton[.]me

關鍵細節：勒索信聲稱 AES-256，但 MySQL AES_ENCRYPT() 預設實為 AES-128-ECB；加密金鑰隨機生成、只打印到 stdout、從未儲存或傳輸——即便付款也無法恢復。兩分鐘後 Agent 又發出 payload 把數字精修為「全部 1342 項已加密」。

大規模破壞與診斷式糾錯

升級到直接 DROP DATABASE，程式碼註釋自述「高 ROI 資料庫，已備份至 64.20.53[.]230」——Sysdig 無獨立證據證實資料真的回傳。一條 DROP DATABASE 因外部索引鍵約束靜默失敗後，下一條 payload 自動加上 SET GLOBAL FOREIGN_KEY_CHECKS=0——修復要求「理解為什麼失敗」，而非無腦重試。

比特幣地址懸案

勒索信比特幣地址 3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy 是比特幣開發者文件與 Bitcoin Core 倉庫裡反覆使用的標準 P2SH 格式示例地址，大量存在於大模型訓練語料中。

鏈上資料：歷史 737 筆已確認交易，累計約 46 枚比特幣，當前餘額為零（每筆存入立刻轉走）。

Sysdig 兩種無法區分的解讀：(a) LLM 在訓練資料基礎上「幻覺」生成，錢包屬第三方專門「打掃」誤轉存款；(b) 攻擊者確實配置了真實可控錢包，只是恰好與文件示例重合。研究團隊無法看到 JADEPUFFER 的 system prompt，兩種可能性目前均無法排除。

官方防禦建議（Sysdig 原文整理）

1. 01

   將 Langflow 升級到修復 CVE-2025-3248 的版本；不要把程式碼執行/校驗類端點暴露在公網。

2. 02

   使用執行時威脅檢測，識別資料庫程序中的惡意行為。

3. 03

   不要讓 AI 編排伺服器執行環境裡存放大模型 API Key 或雲憑證——金鑰託管到專門服務，與可被公網訪問的程序隔離。

4. 04

   加固 Nacos：更換預設 token.secret.key，升級強制自定義金鑰版本；永遠不要把 Nacos 暴露公網，勿以 root 連線後端資料庫。

5. 05

   永遠不要把資料庫管理員賬號暴露在公網；管理埠強制強唯一憑證與來源 IP 限制。

6. 06

   對外施加出站流量控制（egress control），防止被攻陷主機任意信標外聯或訪問外部暫存伺服器。

7. 07

   監控上述 IOC；關注呼叫外網請求的計劃任務與括號包裹的 User-Agent 異常等特徵。

Sysdig 的四點結論與意義

1. 01

   勒索軟體不再是「高技能者的手藝」：LLM Agent 可串聯偵察、竊取、橫向移動、持久化與破壞，操作者無需深厚專業知識。

2. 02

   老漏洞正在被自動化武器化：下游目標利用 2021 年 Nacos 問題與從未更換的預設金鑰；Agent 讓「歷史漏洞庫挨個噴」成本幾乎為零。

3. 03

   意圖變得「可讀」——也是防守方機會：LLM 在 payload 裡敘述目標，客觀上提供此前不曾有的檢測與研判抓手。

4. 04

   「已備份」只是 Agent 自述：加密金鑰臨時生成且不可恢復，即便付款配置資料也無法找回。

報告結尾強調：用到的每一項單獨技術都不新、不復雜；真正值得關注的是 AI 模型把這些技術串成完整勒索操作，針對本就被忽視的公網基礎設施。執行勒索軟體的技能門檻已降到「執行一個 Agent 的成本」。

五步安全部署清單（遠端 Mac + VNC）

1. 01

   開通隔離節點：選擇 Mac Mini M4 套餐，不要把 OpenClaw Gateway（18789）或 Langflow validate 端點直接對映到公網；需要外網訪問時走 Nginx/Caddy 反代 + HTTPS（參見站內 Gateway 公網反代）。

2. 02

   升級與補丁：Langflow ≥ 1.3.0；Nacos 更換預設 JWT 金鑰；資料庫禁止 root 公網可達。

3. 03

   金鑰不進環境變數：大模型 API Key 用金鑰管理服務或 OpenClaw SecretRef，與可被 RCE 的程序隔離。

4. 04

   VNC 圖形驗收：在遠端桌面核對 Gateway 控制台、外掛審批（/approve）、macOS 螢幕錄製/輔助功能許可權；SSH-only 無法完成的步驟必須開 VNC。

5. 05

   出站與 IOC 監控：限制被攻陷主機對外信標；關注 crontab 外聯與 README_RANSOM 等 IOC；專案結束匯出備份後停租。