2026 年 7 月第一周，云安全公司 Sysdig 的威胁研究团队披露了一起数据库勒索攻击，将攻击者命名为 JADEPUFFER。研究团队根据载荷与行为记录，判断其技术执行由 AI Agent 驱动，并称这是其记录到的首例此类勒索行动。
据 Sysdig 报告，攻击最终指向一台暴露在互联网上的生产数据库服务器，执行了加密和破坏操作。其分析认为，侦查、凭据搜集、横向移动、权限提升和数据破坏等技术步骤由 Agent 自动串联完成。不过，人类仍选择了目标、搭建基础设施并提供部分关键凭据，「自动执行」不能等同于无人参与。
从未修补的 Langflow 服务进入，再攻击数据库
JADEPUFFER 利用的入口是一个已知漏洞。它利用的是 CVE-2025-3248——Langflow 开源平台上早已被修补的一个认证缺失漏洞，CVSS 严重性评分 9.8，2025 年 5 月已被 CISA 列入"已知被利用漏洞"清单。Langflow 是许多团队用来构建 AI 应用和 Agent 工作流的开源框架，它的问题在于：未认证的远程用户可以直接在服务器上执行任意 Python 代码。
修复早已发布（Langflow 1.3.0），但互联网上大量实例从未更新。JADEPUFFER 的受害者就是其中之一。
研究者关注的是，这些已知手段如何被连续执行，以及行动失败后如何调整：
第一步：资产扫描与凭据收割。 Agent 进入 Langflow 主机后，立即映射了整台机器的结构，然后系统性地搜索所有有价值的信息。它导出了 Langflow 的 PostgreSQL 数据库，并在主机环境中搜寻多类信息，包括 API 密钥（OpenAI、Anthropic、DeepSeek、Gemini）、云凭据（覆盖阿里云、腾讯云、AWS、Azure、Google Cloud）、加密货币钱包密钥和数据库登录信息。随后它盯上了一台邻近的 MinIO 对象存储服务器——用出厂默认用户名密码 minioadmin:minioadmin 直接登录成功。
第二步：建立持久化与横向移动。 在离开第一台主机前，Agent 添加了一个每 30 分钟向攻击者命令控制服务器（45.131.66.106:4444）发送信标（beacon）的定时任务。然后它转向真正的目标：一台直接暴露在互联网上的 MySQL 数据库服务器，旁边运行着阿里巴巴 Nacos 配置管理平台。
第三步：权限提升与接管。 Agent 以 root 身份登录了 MySQL 数据库——Sysdig 在原报告中表示未观测到这些 root 凭据的获取过程，后续采访则说明它们来自此前的独立入侵，由人类操作者提供。接着 Agent 利用一个 2021 年的认证绕过漏洞（CVE-2021-29441）和 Nacos 自 2020 年以来从未变过的出厂默认签名密钥，在 Nacos 中植入了自己的管理员账户。
第四步：加密、销毁与勒索。 Agent 加密了 Nacos 中全部 1,342 条配置记录，删除了原始表，然后留下了一张名为 README_RANSOM 的勒索表——包含比特币地址和 Proton Mail 联系方式。它还删除了整个数据库 schema，并在代码注释中声称已将数据复制到别处；Sysdig 未独立确认这一外传说法。
数据恢复的另一难点在加密环节：据捕获的代码，Agent 生成随机密钥，仅向标准输出打印一次，未见保存或传送密钥的步骤。Sysdig 据此认为，支付赎金也无法通过这套勒索流程恢复配置数据。这项判断针对所观察到的流程，不能排除受害者另有备份的情况。
自然语言注释和快速纠错，支持 AI 驱动的判断
Sysdig 的威胁分析师 Michael Clark 将代码和行为痕迹作为判断依据。JADEPUFFER 超过 600 次攻击载荷中，几乎每一个步骤都附带了用自然语言写的英文注释，解释为什么采取这个操作——这类注释常见于模型生成的代码。单看注释不能排除人为编写，还需要结合后续行为分析。
另一个证据是纠错速度。一次涉及 bcrypt 密码哈希处理的登录尝试失败后，Agent 在 31 秒内发出了调整密码和哈希处理的载荷，随后登录成功。这是研究者判断其能够根据反馈纠错的一项证据。在整个操作中，Agent 还自动适配了 JSON 和 XML 之间的格式不匹配，没有人工干预。
人类选择目标并提供凭据，具体模型仍无法确认
Sysdig 在后续采访中澄清了一个关键细节：虽然研究者判断技术步骤由 AI Agent 自动执行，但人类操作者仍然做了三件事——选择了受害者、搭建了命令控制基础设施、并提供了进入目标数据库的 root 凭据。换句话说，人类是"任务下达者"，AI 是"任务执行器"。
关于驱动 JADEPUFFER 的具体模型，Sysdig 也给出了明确答案：无法确认。 之前报道中提及 Agent 窃取了 OpenAI、Anthropic、DeepSeek、Gemini 的 API 密钥，但 Clark 澄清那些都是"战利品"——Agent 在 Langflow 主机上扫到的、认为有价值的东西，而非驱动攻击的模型。微软研究员 Geoff McDonald 在 LinkedIn 上推测，攻击者可能使用了一个剥离了安全训练的开放权重模型，而非前沿闭源模型——这个推测尚未被证实或否定。
赎金单中的比特币地址也留下一个疑问。它恰好是 Bitcoin 开发者文档中反复出现的示例地址，同时也是一个真实活跃的钱包。Sysdig 无法判断：是模型从训练记忆里"抄"了一个看起来熟悉的地址，还是人类操作者故意使用了一个恰好与经典示例相同的真实钱包。
从研究原型到实际攻击，已有案例仍需区分
过去 18 个月，已有多起 AI 勒索和网络攻击相关披露，但它们的真实性质和自动化程度不同：
- 2025 年 8 月：ESET 首次标记 PromptLock 为"首个 AI 驱动勒索软件"——后来被证实只是 NYU 实验室的原型项目 Ransomware 3.0。同时，Anthropic 披露了一起真实的利用 Claude Code 进行的勒索活动，攻击了至少 17 个组织，赎金要求超过 50 万美元，但仍有大量人工操控。
- 2025 年 11 月：Anthropic 报告了其称之为"首个基本自主的网络攻击"，与中国相关的间谍活动利用 Claude 编写漏洞利用代码和窃取数据，人类介入程度极低。
- 2026 年 7 月：Sysdig 披露 JADEPUFFER，称其为首例有记录的 Agent 驱动勒索行动；前期仍有人类参与。
这些案例显示，Agent 可能承担更多技术执行工作，但不能据此认定发动攻击已不需要技能、凭据或基础设施。SOCRadar CISO Ensar Seker 对 SiliconANGLE 表示："改变的不是攻击的精妙程度，而是一个 AI Agent 能够自主地将侦查、漏洞利用、凭据发现、横向移动和勒索串联起来，并在遇到失败时实时适应。这大幅降低了勒索软件活动的运营成本，让攻击者可以同时执行远比人类团队能管理的更多的行动。"
KnowBe4 的 Erich Kron 补充道："考虑到网络犯罪每年带来的资金量，不法分子开始用最新技术实施真正自主攻击只是时间问题。Agent 与 LLM 的本质不同在于，它们是目标导向的实体——给出工具，它们会自己想办法完成任务。"
Claude Code 将 default 模式改名为 Manual，权限仍需按规则判断
同期，Claude Code 的权限设置也受到关注。7 月 3 日的 v2.1.200 更新日志将原名「default」的权限模式改称「Manual」，并接受 manual 作为别名。这是模式名称的调整，不能读成此前默认使用 Auto、此次才改为手动授权。
Manual 模式按权限规则请求授权，不能简单理解为每一次写文件、运行命令和网络调用都必须重新询问。Auto 则是不同模式，通过后台分类器判断动作是否符合用户请求。原报道引用早期 Sonnet 4.6 分类器评估中对「过度执行」动作 17% 的漏报率；这一数字属于特定测试，不能换算成所有实际越权操作每六次就有一次被放行。
TechTimes 随后在 7 月 7 日讨论了这次更新。官方日志支持的是改名，不能据此认定它是首个采用人工授权的主流编程工具，也没有证据表明该变更由 JADEPUFFER 事件触发。对使用者而言，需要检查具体模式、已允许的动作以及权限范围，而非只看界面标签。
修补服务、隔离凭据，并限制数据库管理访问
Sysdig 的防护建议并不新鲜，但在 Agent 攻击时代有了新的紧迫性：
- 补丁：立即升级 Langflow 并绝不让其代码执行端点暴露在公网上。CVE-2025-3248 已在 CISA KEV 清单中超过一年。
- 秘密管理：不要让 AI 工具的运行环境中直接放置云密钥和 API 凭据——使用专门的秘密管理器。
- 加固 Nacos：更改 2020 年以来没变过的默认签名密钥，不要让它直接连接公网，绝不以 root 身份连接数据库。
- 补丁与运行时监控并行：及时修补漏洞，同时监控数据库进程、异常外连和破坏性操作；两者针对不同环节，不能互相替代。
- 数据库绝不直接暴露在公网上：这是一条老规矩，但 JADEPUFFER 的成功很大程度上归功于目标的疏忽。
JADEPUFFER 使用的技术手段大多已知，对应的补丁和加固措施也已存在。值得警惕的是，Agent 可以连续执行这些步骤并根据反馈调整。它可能降低部分执行成本、增加攻击频率，但本案尚不能量化成本下降幅度，更不能证明所有准备工作都已自动化。
Sysdig 尚未发现同一攻击者攻击其他受害者，但 Michael Clark 的判断是：考虑到运行 Agent 的成本如此之低，"这只是时间问题。"
