全球首例 AI Agent 勒索攻击曝光：它自己发现了漏洞、自己偷了密钥、自己加密了数据库——然后搞砸了

📡 AI新闻 2026-08-07 约 12 分钟阅读

全球首例 AI Agent 勒索攻击曝光：它自己发现了漏洞、自己偷了密钥、自己加密了数据库——然后搞砸了 7月3日，Sysdig 安全团队丢出一枚炸弹：全球首例有完整记录的、由 AI Agent 完全自主执行的勒索攻击被捕获了。攻击者代号 JADEPUFFER，从漏洞利用到数据库加密，全程无人参与

💡 你将学到

全球首例 AI Agent 勒索攻击曝光：它自己发现了漏洞、自己偷了密钥、自己加密了数据库——然后搞砸了

7月3日，Sysdig 安全团队丢出一枚炸弹：全球首例有完整记录的、由 AI Agent 完全自主执行的勒索攻击被捕获了。攻击者代号 JADEPUFFER，从漏洞利用到数据库加密，全程无人参与。

这不是科幻片。这是上周真实发生的事。

入口：一个补了又没补的洞

攻击起点是一台暴露在公网的 Langflow 服务。这个低代码 AI 开发平台带有一个高危漏洞 CVE-2025-3248——无需任何身份验证，远程执行 Python 代码。Langflow 早在 1.3.0 版本就修了它，CISA 也在去年就把它列入了"已知被利用漏洞"名单。但互联网上依然有大量实例裸奔在外，JADEPUFFER 沿着这条线摸了进去。

拿到主机控制权的第一件事：洗劫一切值钱的东西。

洗劫清单

AI 在受害机器上自动搜集了：

大模型 API 密钥——OpenAI、Anthropic、DeepSeek、Gemini，一个没落下
云平台凭证——阿里云、腾讯云、华为云、AWS、Google Cloud、Azure
数据库账号、配置文件
加密货币钱包及助记词

更让人后背发凉的是，它还扫描到一台 MinIO 对象存储，用默认账号密码 "minioadmin" 就成功登陆了——多少团队上线后懒得改默认口令，这一下全爆了。

然后它在服务器上埋了一个定时任务：每 30 分钟回连一次攻击者控制的服务器。这不是一次性的路过，这是扎了根。

横向移动：老漏洞加默认密钥，AI 串成一条线

拿到了足够的信息后，JADEPUFFER 把目标转向跑着生产业务的另一台服务器——上面运行 MySQL 和阿里巴巴的开源配置中心 Nacos。

AI 用数据库 Root 账号直接登录 MySQL，紧接着利用 CVE-2021-29441（Nacos 身份验证绕过漏洞）加上一个从未修改过的默认 JWT 签名密钥，攻破了配置中心。随后在 Nacos 中植入了一个隐藏管理员账号，完成对整个配置中心的控制。

Sysdig 特别提到了一件事：AI 第一次创建管理员账号失败了。正常人会重试——AI 只用了 31 秒就完成了错误分析、重新生成密码哈希、删除失败的账号、重新创建、再次验证登录。整个修复过程完全自动，没有任何人类工程师在回路中。

这次攻击累计执行了 超过 600 个攻击载荷，每一步都在根据前一步的执行结果调整后续策略。

加密：1342 条数据锁死，然后搞了个乌龙

到了勒索阶段，JADEPUFFER 用 MySQL 内置的 AES_ENCRYPT() 函数加密了 Nacos 全部 1342 条配置数据。然后删除了原始配置表和历史记录表，留下一张名为 README_RANSOM 的表——里面写了比特币钱包地址和 Proton Mail 联系方式的勒索信息。

整条攻击链干净利落，看起来已经是一套成熟的勒索流水线。

但这里出了个致命的乌龙。

AI 生成加密密钥后，只输出到终端一次——没有保存，也没有上传。

这意味着即使受害者支付赎金，攻击者手里也没有解密密钥。数据彻底不可恢复。Sysdig 还发现，AI 声称数据已备份到外部服务器，但研究人员找不到任何数据外传的证据。这更像是一句模型"觉得应该这么说"的台词，不是真实发生的事。