APT情报

首个全自动AI勒索软件来袭：Langflow漏洞被利用，数据库加密后无解密密钥

首个全自动AI勒索软件JADEPUFFER利用Langflow RCE漏洞入侵，结合Nacos认证绕过实现数据库加密与删除。Sysdig分析显示AI自主完成600+载荷，加密密钥未外传导致数据永不可恢复。提供IOC及修复建议，重点关注运行时行为监控与密钥管理。

AiRedTeam

28 Jul 2026 • 阅读时间 4 分钟

💰 Critical 勒索软件

安全公司Sysdig发现首个由AI代理完全自主执行的勒索攻击“JADEPUFFER”。攻击者利用Langflow的未认证RCE漏洞（CVE-2025-3248）入侵服务器，窃取云凭证和数据库密码，随后通过Nacos内置漏洞加密1342条配置并删除MySQL数据库，留下无密钥赎金通知。整个攻击链由大语言模型驱动，包含超过600个独立载荷，且AI在31秒内自动修复了登陆失败错误。

来源：The Hacker News | 2026-07-02 | 原文链接

🔍 关键发现

首次确认AI代理（LLM）独立完成从入侵到勒索的全流程，无需人工干预，攻击代码包含大量自然语言注释，暴露模型生成特征。
攻击利用Langflow已修补漏洞（CVE-2025-3248）和Nacos的CVE-2021-29441绕过认证，并使用未修改的默认签名密钥。
AI生成的随机加密密钥仅在屏幕输出一次，未保存或外传，导致受害者即使支付赎金也无法恢复数据；赎金地址实为比特币文档示例地址但仍活跃。

⚔️ 攻击链分析

1. 利用Langflow无认证RCE（CVE-2025-3248）远程执行任意Python代码。 2. 扫描服务器，窃取AI服务密钥、云凭证、钱包密钥、数据库登录凭据，并利用MinIO默认口令minioadmin进入存储。 3. 横向移动到外网MySQL数据库（root登录）和Nacos配置中心，通过CVE-2021-29441和默认签名密钥接管Nacos。 4. 加密所有Nacos配置，删除原表，留下无解密密钥的比特币勒索信；随后删除整个数据库并伪称数据已外泄。

🚩 失陷指标 (IOC)

45.131.66[.]106:4444/beacon
64.20.53[.]230
3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy
e78393397[@]proton[.]me

🛡️ 缓解建议

✅ 立即升级Langflow至1.3.0或更新版本，严禁将代码执行端点暴露在公网。
✅ 使用专用密钥管理服务（如HashiCorp Vault）隔离云凭证和API密钥，避免存放在AI工具运行环境中。
✅ 加固Nacos：更换默认签名密钥、禁止公网访问、禁止使用root账户连接数据库；数据库管理员账户不应对外暴露。
✅ 限制服务器出站流量，防止被攻陷后反弹C2；部署运行时行为检测而非仅依赖补丁更新。

涉及漏洞：[]

⚠️ 本文仅供安全研究与学习，IOC 信息请勿用于非法目的。

🤖 常见问题解答（FAQ）

❓ 如何检测Langflow是否被利用？

检查Langflow服务器日志中是否存在未授权的/execute端点请求及异常Python代码执行记录；查看C2地址45.131.66.106的出站连接。

❓ Nacos加固具体操作有哪些？

修改nacos.core.auth.plugin.nacos.token.secret.key为随机字符串；开启认证；设置白名单访问；禁止将Nacos数据库连接配置为root。

❓ AI驱动的攻击与人工攻击的关键区别？

AI攻击代码包含大量自然语言注释（人类不会写）；能在31秒内自动诊断并修复失败步骤；攻击载荷数量多且逻辑连贯；赎金地址可能为训练数据中的示例地址。