JADEPUFFER：首例 LLM 全自主勒索
Langflow 漏洞、攻击链与租 Mac 安全部署

事件概述：勒索软件有了「AI 操作员」

自勒索软件成为威胁类别以来，键盘背后总有一个「人」——要么亲自操作，要么事先写好脚本。JADEPUFFER 打破了这个前提：Sysdig 评估这是目前已知第一例端到端、完全由大语言模型驱动的完整勒索操作。

痛点拆解：为何与 OpenClaw / Langflow 用户相关

1. 01

   AI 编排服务器常存 API Key：Langflow 这类 Agent 工作流服务器的环境变量里往往放着 OpenAI、Anthropic、DeepSeek、Gemini 及阿里云/腾讯云凭证——正是 JADEPUFFER 第一阶段并行扫描的目标。

2. 02

   仓促上线、直接暴露公网：很多团队为快速验证原型，把 Langflow / OpenClaw Gateway 直接挂在公网 IP 上，没有访问控制。

3. 03

   老漏洞 + 自动化武器化：CVE-2025-3248 早在 2025 年 4 月披露、5 月进 CISA KEV；Agent 让「把历史漏洞库挨个喷一遍」的成本趋近于零。

4. 04

   LLMjacking 边际成本为零：若攻击者本身靠窃取的模型/云凭证驱动 Agent，发起多阶段攻击的经济门槛极低。

CVE-2025-3248：Langflow 未鉴权 RCE 完整技术分析

成因五步拆解：

1. 01

   Langflow 提供「代码校验」接口，让用户在可视化编排里写自定义函数节点时提前校验语法。

2. 02

   实现方式：用户代码 → ast.parse() → compile() → exec() 执行。

3. 03

   关键缺陷：完全没有身份认证，也没有任何沙箱隔离。

4. 04

   利用技巧：Python 装饰器与参数默认值在函数定义时立即求值；攻击者把恶意代码写进默认参数或装饰器，一旦 Langflow 拿去「校验」，代码已在服务器执行。

5. 05

   攻击者无需登录、无需权限，只需一个精心构造的 HTTP POST 即可 RCE。

exec('raise Exception(__import__("subprocess").check_output("whoami", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("printenv", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("cat /root/.bash_history", shell=True))')

重要区分：Flodrix 僵尸网络与 JADEPUFFER 是两起独立利用活动，共享同一漏洞入口。前者是传统脚本化投递；后者才是 Sysdig 披露的「AI Agent 自主驱动」勒索。

官方补丁（1.3.0）：为 post_validate_code 新增 _current_user: CurrentActiveUser 依赖注入；FastAPI 先校验 JWT Bearer Token 或 x-api-key，失败直接 401/403，请求不会到达漏洞逻辑。

攻击链 Phase 2：MySQL + Nacos 生产服务器

真正目标是另一台同样暴露公网、运行 MySQL 与阿里巴巴 Nacos 的生产服务器。Nacos 有鉴权绕过历史（CVE-2021-29441 及相关变种），且默认 JWT 签名密钥自 2020 年起被公开文档记录，许多部署至今未更换。

Agent 用 root 凭证直接连接暴露的 MySQL 端口——这组凭证来源不明，Sysdig 未观察到从受害者环境窃取，可能是少数「人类预先准备」环节之一。

Nacos 后门管理员：31 秒修复闭环

容器逃逸探测（约 8 分钟）

利用 MySQL INTO OUTFILE / LOAD_FILE 测试写入、读回、/var/run/docker.sock、/proc/1/cgroup、/etc/hostname 及 UDF 提权路径。进入勒索前主动写「完成标记」——Sysdig 指出这更像 Agent 完成任务后发出进入下一阶段的信号，而非固定脚本行为。

破坏性加密与勒索

将全部 1,342 条 Nacos 服务配置项用 MySQL AES_ENCRYPT() 加密，删除原始 config_info 与 his_config_info，创建勒索信表 README_RANSOM。

KEY = base64.b64encode(uuid.uuid4().bytes + uuid.uuid4().bytes).decode()
print("Encryption key:", KEY)  # 仅打印一次，从未存储或外传
# 创建 config_info_enc → DROP config_info → CREATE README_RANSOM
# 比特币: 3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy
# 联系: e78393397[@]proton[.]me

关键细节：勒索信声称 AES-256，但 MySQL AES_ENCRYPT() 默认实为 AES-128-ECB；加密密钥随机生成、只打印到 stdout、从未存储或传输——即便付款也无法恢复。两分钟后 Agent 又发出 payload 把数字精修为「全部 1342 项已加密」。

大规模破坏与诊断式纠错

升级到直接 DROP DATABASE，代码注释自述「高 ROI 数据库，已备份至 64.20.53[.]230」——Sysdig 无独立证据证实数据真的回传。一条 DROP DATABASE 因外键约束静默失败后，下一条 payload 自动加上 SET GLOBAL FOREIGN_KEY_CHECKS=0——修复要求「理解为什么失败」，而非无脑重试。

比特币地址悬案

勒索信比特币地址 3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy 是比特币开发者文档与 Bitcoin Core 仓库里反复使用的标准 P2SH 格式示例地址，大量存在于大模型训练语料中。

链上数据：历史 737 笔已确认交易，累计约 46 枚比特币，当前余额为零（每笔存入立刻转走）。

Sysdig 两种无法区分的解读：(a) LLM 在训练数据基础上「幻觉」生成，钱包属第三方专门「打扫」误转存款；(b) 攻击者确实配置了真实可控钱包，只是恰好与文档示例重合。研究团队无法看到 JADEPUFFER 的 system prompt，两种可能性目前均无法排除。

官方防御建议（Sysdig 原文整理）

1. 01

   将 Langflow 升级到修复 CVE-2025-3248 的版本；不要把代码执行/校验类端点暴露在公网。

2. 02

   使用运行时威胁检测，识别数据库进程中的恶意行为。

3. 03

   不要让 AI 编排服务器运行环境里存放大模型 API Key 或云凭证——密钥托管到专门服务，与可被公网访问的进程隔离。

4. 04

   加固 Nacos：更换默认 token.secret.key，升级强制自定义密钥版本；永远不要把 Nacos 暴露公网，勿以 root 连接后端数据库。

5. 05

   永远不要把数据库管理员账号暴露在公网；管理端口强制强唯一凭证与来源 IP 限制。

6. 06

   对外施加出站流量控制（egress control），防止被攻陷主机任意信标外联或访问外部暂存服务器。

7. 07

   监控上述 IOC；关注调用外网请求的计划任务与括号包裹的 User-Agent 异常等特征。

Sysdig 的四点结论与意义

1. 01

   勒索软件不再是「高技能者的手艺」：LLM Agent 可串联侦察、窃取、横向移动、持久化与破坏，操作者无需深厚专业知识。

2. 02

   老漏洞正在被自动化武器化：下游目标利用 2021 年 Nacos 问题与从未更换的默认密钥；Agent 让「历史漏洞库挨个喷」成本几乎为零。

3. 03

   意图变得「可读」——也是防守方机会：LLM 在 payload 里叙述目标，客观上提供此前不曾有的检测与研判抓手。

4. 04

   「已备份」只是 Agent 自述：加密密钥临时生成且不可恢复，即便付款配置数据也无法找回。

报告结尾强调：用到的每一项单独技术都不新、不复杂；真正值得关注的是 AI 模型把这些技术串成完整勒索操作，针对本就被忽视的公网基础设施。运行勒索软件的技能门槛已降到「运行一个 Agent 的成本」。

五步安全部署清单（远程 Mac + VNC）

1. 01

   开通隔离节点：选择 Mac Mini M4 套餐，不要把 OpenClaw Gateway（18789）或 Langflow validate 端点直接映射到公网；需要外网访问时走 Nginx/Caddy 反代 + HTTPS（参见站内 Gateway 公网反代）。

2. 02

   升级与补丁：Langflow ≥ 1.3.0；Nacos 更换默认 JWT 密钥；数据库禁止 root 公网可达。

3. 03

   密钥不进环境变量：大模型 API Key 用密钥管理服务或 OpenClaw SecretRef，与可被 RCE 的进程隔离。

4. 04

   VNC 图形验收：在远程桌面核对 Gateway 控制台、插件审批（/approve）、macOS 屏幕录制/辅助功能权限；SSH-only 无法完成的步骤必须开 VNC。

5. 05

   出站与 IOC 监控：限制被攻陷主机对外信标；关注 crontab 外联与 README_RANSOM 等 IOC；项目结束导出备份后停租。