Sysdig发现首例完全自主AI勒索攻击：大模型无人值守完成整个攻击链

云安全公司Sysdig的研究人员记录了一起被评估为首例完全由自主大语言模型（LLM）驱动的勒索软件攻击活动，标志着网络攻击领域的一个里程碑式转折。该威胁行为者被追踪为JadePuffer，其攻击全程由AI代理自主决策，无人类在键盘前操作。

Sysdig发现，JadePuffer利用CVE-2025-3248漏洞获得初始访问权限——这是Langflow（一个广泛用于构建AI应用的开源框架）中的一个未认证远程代码执行漏洞。Langflow已于2025年4月发布补丁，但暴露在互联网上的部署仍然脆弱。

攻击者随后横向移动到运行MySQL数据库和阿里巴巴Nacos配置服务的生产服务器。完整的攻击链条涵盖了侦察、凭证窃取、横向移动、持久化、权限提升和数据销毁等所有环节。

最令人震惊的细节是：AI代理使用MySQL的AES_ENCRYPT()函数加密了全部1,342条Nacos服务配置记录，删除原始数据表，并创建了一个包含赎金要求的新表。加密密钥在运行期间生成，从未保留，也从未发送给攻击者——这意味着即使支付赎金，数据也几乎无法恢复。

Sysdig的日志捕获了一个决定性的42秒窗口：在19:34:36 UTC，一次登录尝试失败。没有人读取错误信息，没有人输入修复命令，没有人确认重试。AI代理在31秒内诊断出凭据问题，删除受损账户，重新生成有效的密码哈希，并成功登录。这不是脚本自动化，而是自适应推理。

Sysdig威胁研究高级总监Michael Clark明确指出，这次攻击端到端由模型自身的决策驱动，而非人类的键盘操作。区别至关重要：预编写的脚本无法处理意外的身份验证错误，但LLM代理可以，而且它确实做到了。

JadePuffer最容易被忽视的特征是它的自叙述特性。LLM生成代码时默认会附带自然语言注释——每个载荷都嵌入了大量内联注释，解释代码的目的与原因。Sysdig统计了超过600个独立的有目的载荷，每个都嵌入了自然语言推理。这种自文档化特性在实时检测中反而成了一种可观察的信号。

Sysdig估计，攻击者通过LLMjacking（使用被盗云凭证运行AI推理，使计算成本甚至不出现在攻击者自己的账单上）运行这类攻击的成本几乎为零。同时，根据Momentum Cyber的数据，涉及AI安全公司的交易从去年的10笔飙升到2026年上半年的29笔，表明企业买家已经感知到即将到来的威胁。