这不是科幻片也不是远处的安全故事。它提醒所有正在接入 AI 工具、低代码平台、Agent 工作流的团队只要服务暴露、补丁落后、凭证乱放机器就能比人更快地把风险串起来。本文只做安全提醒和风险解读不展开可复现攻击细节。一个信号AI Agent 已经不只是“会回答”最刺眼的地方不是“勒索软件”四个字而是“全程自主”。安全厂商 Sysdig 披露威胁研究团队观察到一个名为 JADEPUFFER 的行动它利用暴露在公网的 Langflow 旧漏洞进入系统随后自己搜索密钥、梳理环境、横向移动最后对生产数据库相关配置进行加密破坏。换句话说过去需要人盯着屏幕一步步判断的事现在被 AI Agent 连成了流水线。安全媒体 The Hacker News 对 AI Agent 勒索攻击的报道配图。如果只把它看成一条技术新闻就低估了它。它真正击中的是企业最常见的三个薄弱点旧版本没升级、默认凭证没改、生产权限没收紧。这次事件有几个数字很扎眼31 秒内自我修正、超 600 个动作载荷、1342 条配置数据被加密。数字背后不是“炫技”而是一个更现实的问题机器不会累机器不会忘机器会持续试错。更值得注意的是Sysdig 认为这不是用了什么全新的神秘漏洞。相反它把已经公开、已经修复、但仍然没有被很多人处理掉的问题组合成了一次完整行动。它不是更聪明的黑客而是更快的流水线JADEPUFFER 的可怕之处在于它把“侦察、找钥匙、换入口、进生产、加密配置”这些环节连续推进。每一步单独看都不是安全圈没见过的东西串起来就变成了业务层面的真实损失。这里的重点不是某个工具而是“AI Agent 过大权限 暴露面”的组合。只要 Agent 能执行代码、读环境变量、访问网络、调用数据库它就不再是一个聊天窗口而是一名有行动能力的数字员工。问题不新但被 AI 放大了这次入口涉及 Langflow 的 CVE-2025-3248。NVD 对该漏洞的描述显示Langflow 1.3.0 之前版本存在代码注入风险未认证的远程攻击者可触发任意代码执行CVSS 3.x 基础分为 9.8属于高危级别。CISA 也已将该漏洞加入已知遭利用漏洞目录。Nacos 侧暴露的问题同样并不新。NVD 对 CVE-2021-29441 的描述显示Nacos 1.4.1 之前在特定认证配置下存在绕过风险。放在传统环境里这是一个需要尽快修的老漏洞放在 AI Agent 场景里它会成为自动化链路里的下一块拼图。所以这不是“AI突然会攻击”而是我们给了它太多能动手的条件。多家安全媒体和科技媒体的报道指向同一个结论这次事件的标志意义在于 AI Agent 可以把已知漏洞、凭证搜索、服务发现和数据库破坏串成端到端流程。企业现在最该做的不是害怕 AI而是盘点暴露面不要把这事理解成“只要不用 Langflow 就没事”。Langflow 只是这次的入口之一。真正需要警惕的是任何能执行代码、能保存密钥、能连内网、能访问数据库的 AI 工具一旦暴露在公网都可能被机器反复试探。最容易被忽视的是“环境变量里的密钥”和“方便测试留下的账号”。开发时为了快可能把云密钥、模型 Key、数据库连接串放在一个地方上线后忘了收。对人来说这是坏习惯对 AI Agent 来说这是现成的地图。AI Agent 进入企业安全规则也要升级传统安全更多盯“人”和“系统”。现在还要多盯一类对象会自己计划、自己调用工具、自己修正错误的 Agent。它不是员工却能拥有员工的权限它不是脚本却能根据结果调整下一步。真正可靠的做法是把 Agent 当成一个需要身份、权限、审计和边界的系统对象。不要让一个 Agent 共用超级账号不要让它随意读取所有配置不要让它能无条件连外网更不要让它直接接触生产库的最高权限。结尾别把门留给机器慢慢试这次事件给人的寒意不在于 AI 有多“邪恶”而在于它很会把人类长期拖延的问题放大。补丁没打默认密码没改Root 账号还在服务还裸露在公网——这些过去也危险只是现在会被机器更快、更密、更便宜地试出来。对企业来说AI Agent 是效率工具也是风险放大器。用得好它能帮你自动化管不好它也可能把你的漏洞自动化。真正的分水岭不是你有没有 AI而是你有没有把权限、凭证、网络和监控重新整理清楚。
AI会自己勒索了？
这不是科幻片也不是远处的安全故事。它提醒所有正在接入 AI 工具、低代码平台、Agent 工作流的团队只要服务暴露、补丁落后、凭证乱放机器就能比人更快地把风险串起来。本文只做安全提醒和风险解读不展开可复现攻击细节。一个信号AI Agent 已经不只是“会回答”最刺眼的地方不是“勒索软件”四个字而是“全程自主”。安全厂商 Sysdig 披露威胁研究团队观察到一个名为 JADEPUFFER 的行动它利用暴露在公网的 Langflow 旧漏洞进入系统随后自己搜索密钥、梳理环境、横向移动最后对生产数据库相关配置进行加密破坏。换句话说过去需要人盯着屏幕一步步判断的事现在被 AI Agent 连成了流水线。安全媒体 The Hacker News 对 AI Agent 勒索攻击的报道配图。如果只把它看成一条技术新闻就低估了它。它真正击中的是企业最常见的三个薄弱点旧版本没升级、默认凭证没改、生产权限没收紧。这次事件有几个数字很扎眼31 秒内自我修正、超 600 个动作载荷、1342 条配置数据被加密。数字背后不是“炫技”而是一个更现实的问题机器不会累机器不会忘机器会持续试错。更值得注意的是Sysdig 认为这不是用了什么全新的神秘漏洞。相反它把已经公开、已经修复、但仍然没有被很多人处理掉的问题组合成了一次完整行动。它不是更聪明的黑客而是更快的流水线JADEPUFFER 的可怕之处在于它把“侦察、找钥匙、换入口、进生产、加密配置”这些环节连续推进。每一步单独看都不是安全圈没见过的东西串起来就变成了业务层面的真实损失。这里的重点不是某个工具而是“AI Agent 过大权限 暴露面”的组合。只要 Agent 能执行代码、读环境变量、访问网络、调用数据库它就不再是一个聊天窗口而是一名有行动能力的数字员工。问题不新但被 AI 放大了这次入口涉及 Langflow 的 CVE-2025-3248。NVD 对该漏洞的描述显示Langflow 1.3.0 之前版本存在代码注入风险未认证的远程攻击者可触发任意代码执行CVSS 3.x 基础分为 9.8属于高危级别。CISA 也已将该漏洞加入已知遭利用漏洞目录。Nacos 侧暴露的问题同样并不新。NVD 对 CVE-2021-29441 的描述显示Nacos 1.4.1 之前在特定认证配置下存在绕过风险。放在传统环境里这是一个需要尽快修的老漏洞放在 AI Agent 场景里它会成为自动化链路里的下一块拼图。所以这不是“AI突然会攻击”而是我们给了它太多能动手的条件。多家安全媒体和科技媒体的报道指向同一个结论这次事件的标志意义在于 AI Agent 可以把已知漏洞、凭证搜索、服务发现和数据库破坏串成端到端流程。企业现在最该做的不是害怕 AI而是盘点暴露面不要把这事理解成“只要不用 Langflow 就没事”。Langflow 只是这次的入口之一。真正需要警惕的是任何能执行代码、能保存密钥、能连内网、能访问数据库的 AI 工具一旦暴露在公网都可能被机器反复试探。最容易被忽视的是“环境变量里的密钥”和“方便测试留下的账号”。开发时为了快可能把云密钥、模型 Key、数据库连接串放在一个地方上线后忘了收。对人来说这是坏习惯对 AI Agent 来说这是现成的地图。AI Agent 进入企业安全规则也要升级传统安全更多盯“人”和“系统”。现在还要多盯一类对象会自己计划、自己调用工具、自己修正错误的 Agent。它不是员工却能拥有员工的权限它不是脚本却能根据结果调整下一步。真正可靠的做法是把 Agent 当成一个需要身份、权限、审计和边界的系统对象。不要让一个 Agent 共用超级账号不要让它随意读取所有配置不要让它能无条件连外网更不要让它直接接触生产库的最高权限。结尾别把门留给机器慢慢试这次事件给人的寒意不在于 AI 有多“邪恶”而在于它很会把人类长期拖延的问题放大。补丁没打默认密码没改Root 账号还在服务还裸露在公网——这些过去也危险只是现在会被机器更快、更密、更便宜地试出来。对企业来说AI Agent 是效率工具也是风险放大器。用得好它能帮你自动化管不好它也可能把你的漏洞自动化。真正的分水岭不是你有没有 AI而是你有没有把权限、凭证、网络和监控重新整理清楚。
