当攻击者不再需要人类
2026 年 7 月 1 日，Sysdig 威胁研究团队发布了一份分析，披露了一起被其命名为 JADEPUFFER 的勒索软件行动。用 Sysdig 的原话说，这是 “what we assess to be the first documented case of agentic ransomware: a complete extortion operation driven end-to-end by a large language model (LLM).”（我们评估认为，这是首个有记录的智能体勒索软件案例：一次由大语言模型（LLM）端到端驱动的完整勒索行动。）
这不是又一个关于 AI 撰写钓鱼邮件或深度伪造语音电话的故事。在 Sysdig 捕获的载荷中，该智能体利用了一个面向互联网的应用程序，收集了凭据，转移到第二台服务器，接管了其配置服务，加密并删除了数据，最后留下勒索要求。某一步失败时，它会自行诊断原因并重新尝试，无需等待指令。
在 BackupSec 看来，JADEPUFFER 作为单一事件的意义，不如它作为一次预演的意义大。它为一个问题提供了早期数据点，而每一种备份与恢复架构迟早都要回答这个问题：当对手一方的决策循环从数小时缩短到数秒时，会发生什么？
JADEPUFFER 攻击链详解
从轮廓上看，这是安全团队多年来一直在防御的攻击链。Sysdig 自己也这样说：“None of the individual techniques were novel or sophisticated.”（其中没有任何一项技术是新颖或复杂的。）新的是执行这些技术的主体。以下步骤依据 Sysdig 的报告整理：
- 初始访问。 该智能体利用了 Langflow 中的 CVE-2025-3248。Langflow 是一个用于构建 LLM 应用的开源框架。NVD 将其描述为
/api/v1/validate/code端点中的代码注入漏洞，可让 “a remote and unauthenticated attacker”（远程且未经身份验证的攻击者）执行任意代码，CVSS 评分为 9.8。修复已随 2025 年 3 月 31 日发布的 Langflow 1.3.0 推出，CISA 于 2025 年 5 月 5 日将该漏洞列入其已知被利用漏洞（KEV）目录。补丁早已存在，只是没有被应用。 - 凭据收集。 在 Langflow 主机上，该智能体枚举了系统信息，并在环境中全面搜寻 LLM 服务商 API 密钥、云凭据、加密货币钱包和数据库凭据，随后导出了 Langflow 自身的 Postgres 数据库。它发现从该主机可以访问一个 MinIO 对象存储，于是使用 MinIO 的默认凭据（
minioadmin:minioadmin）登录，并列出了若干存储桶，Sysdig 称其中包括 “application data, backups, ML artifacts, and a terraform-state bucket.”（应用数据、备份、机器学习产物，以及一个 terraform 状态存储桶。）它从其中一个存储桶中取走了一个credentials.json文件，里面保存着一组访问密钥/私密密钥。 - 持久化。 它在 Langflow 主机上安装了一条 crontab 条目，每 30 分钟向攻击者基础设施发送一次信标。
- 转向真正的目标。 据 Sysdig 称，这次行动的真正目标是另一台暴露在互联网上的生产服务器，上面运行着 MySQL 和阿里巴巴 Nacos 配置服务。该智能体以 root 身份连接到暴露的 MySQL 端口。Sysdig 没有观察到这些 root 凭据从何而来：“Their origin is unknown.”（其来源不明。）
- 接管 Nacos。 该智能体同时通过几条路径攻击 Nacos：CVE-2021-29441 系列的身份验证绕过（根据 NVD，在 1.4.1 之前的 Nacos 中，可以通过伪造 user-agent 请求头跳过身份验证过滤器）；使用 Nacos 公开文档中的默认签名密钥伪造的 JSON Web Token；以及利用 root 访问权限直接写入 Nacos 数据库的后门管理员账户。JWT 路径失败了（“custom secret in use”，即使用了自定义密钥），随即被放弃。后门账户在经过下文所述的 31 秒修正之后成功生效。
- 造成影响。 该智能体使用 MySQL 的
AES_ENCRYPT()加密了全部 1,342 个 Nacos 配置项，删除了原始配置表和历史表，随后又删除了整个数据库 schema。勒索信声称使用的是 AES-256；Sysdig 指出，除非服务器经过重新配置，否则AES_ENCRYPT()默认使用 AES-128-ECB。对恢复而言更要紧的细节是：密钥只打印了一次，从未被保存或发送出去，因此用 Sysdig 的话说，“The victim cannot recover the encrypted configurations even with payment.”（即使支付赎金，受害者也无法恢复被加密的配置。）只有在攻击发生前制作、并且放在攻击者够不到的地方的副本，才能把这些数据找回来。 - 勒索。 它创建了一张
README_RANSOM表，其中写有勒索要求、一个比特币地址和一个 Proton Mail 联系方式。
必须坦白的限定条件
我们希望准确说明这里的“自主”是什么意思，因为夸大其词会削弱我们接下来要提出的论点。
Sysdig 点明了两件它看不到的事情。它没有观察到该智能体在第四步中使用的 MySQL root 凭据是如何获得的。而且它 “no visibility into JADEPUFFER's system prompt or agent configuration”（无法看到 JADEPUFFER 的系统提示词或智能体配置），因此无法说明在智能体运行之前，人类给了它什么目标或资源。总有人构建、配置并启动了它。
Sysdig 确实记录下来的，是它所捕获的会话中的行为：600 多个不同的载荷，会叙述自身推理过程的代码，以及在数秒内被诊断并修正的失败。基于这些证据，Sysdig 得出结论：“the evidence points to an autonomous agent driving the operation rather than a human operator or a fixed toolkit.”（证据表明，驱动这次行动的是一个自主智能体，而不是人类操作者或固定的工具包。）
这一区分很重要，而且我们认为它加强而不是削弱了我们的论点。即便是由人类设定目标、由智能体负责执行的攻击链，也消除了传统勒索软件行动中最大的延迟来源：人类操作者思考、向上级请示、决定下一步尝试什么所花费的时间。
为什么 31 秒比听起来更重要
这 31 秒并不是整个攻击的持续时间。Sysdig 没有公布这条攻击链的端到端时长，我们也刻意不去编造一个。它公布的是 Nacos 接管过程中一段带时间戳的序列。智能体插入后门管理员账户后，于 UTC 19:34:36 尝试登录并失败。它并行测试了两种可能的原因，然后在 19:35:07 发出一段 15 行的纠正载荷，正确地重建了该账户。登录于 19:35:18 成功。用 Sysdig 的话说：“The window between the failed login and the correct multi-step fix is 31 seconds.”（从登录失败到正确的多步修复，间隔仅 31 秒。）Sysdig 报告称，同样的模式也出现在该会话的其他地方。当某个请求返回的是 XML 而不是 JSON 时，下一个载荷就改为解析 XML。当一条 DROP DATABASE 因外键约束而失败时，下一个载荷会先关闭外键检查。
对比一下人类操作者在某一步失败时的表现。他们会停下来，重新评估。在组织化的勒索软件即服务（RaaS）行动中，他们可能要给上级发消息并等待指示。他们再次尝试的时间以分钟或小时计，有时还要跨越一次换班。这种延迟，也就是一次失败与下一次尝试之间的间隔，一直是少数对防御方有利的因素之一。正因如此，凌晨 2 点的告警到早上 8 点仍可以由人来分诊，而事件在此期间不一定会急剧恶化。
一个把这段间隔压缩到 31 秒的智能体，不只是速度更快。它推翻了几乎每一份事件响应手册中都隐含的一个假设：攻击者的第一次失败尝试与下一次尝试之间存在一个人类尺度的时间窗口，而一个在相近的人类时间尺度上运作的检测与响应流程，可以合理地期望在这个窗口内介入。
AI 出现之前就已成立的数字
备份基础设施并不是因为智能体 AI 才成为攻击目标的。它早就是目标了，相关数据比 JADEPUFFER 早了两年。
- Veeam 的 2024 Ransomware Trends Report（2024 年勒索软件趋势报告）调查了 1,200 名受访者，他们所在的组织在 2023 年至少遭受过一次勒索软件攻击。报告发现：“backup repositories are targeted in 96% of attacks, with bad actors successfully affecting the backup repositories in 76% of cases.”（96% 的攻击以备份存储库为目标，其中 76% 的情况下攻击者成功影响了备份存储库。）Veeam 也在其官方博客上重申了 96% 这一数字。
- Sophos 2024 年关于备份遭破坏的研究基于 2,974 名 IT 与网络安全专业人员的调查，他们所在的组织在前一年遭受过勒索软件攻击。研究发现：“The median overall ransomware recovery costs for organizations whose backups were compromised ($3M) came in eight times higher than that of organizations whose backups were not impacted ($375K).”（备份遭到破坏的组织，其勒索软件整体恢复成本中位数（300 万美元）是备份未受影响组织（37.5 万美元）的八倍。）
这些数字描述的是一个由人类攻击者构成的世界，他们早已明白：一旦勒索软件行动取得立足点，摧毁或加密备份层就是能发挥最大杠杆作用的一步。智能体 AI 并没有改变这笔账。它改变的是由谁、或者由什么来大规模、全天候地执行这一步，而且无需睡觉、无需换班休息，也不必在尝试下一个凭据之前等待上级批准。
IBM 的 2026 X-Force Threat Intelligence Index（2026 年 X-Force 威胁情报指数）补上了趋势线。IBM X-Force 观察到，以利用面向公众的应用程序为起点的攻击增加了 44%，而这正是 JADEPUFFER 使用的入口；活跃的勒索软件与勒索团伙数量同比增长 49%。早在需要自主操作者之前，攻击面就已经在扩大。
从检测窗口到恢复确定性
利用已知漏洞已经是最常见的入侵途径。同一份 IBM 报告称，漏洞利用 “became the leading cause of attacks, accounting for 40% of incidents observed by X-Force in 2025.”（成为攻击的首要原因，占 X-Force 在 2025 年观察到的事件的 40%。）已知漏洞与已修复漏洞之间的差距太大，而且在持续不断地被补充，完美的预防并不现实。JADEPUFFER 符合这一模式：Sysdig 指出，针对真正目标的攻击 “leaned on years-old issues, a 2021 Nacos auth-bypass and an unchanged default signing key.”（依赖的是存在多年的问题：一个 2021 年的 Nacos 身份验证绕过漏洞，以及一个从未更改的默认签名密钥。）JADEPUFFER 并没有改变这一论点，而是让它更加尖锐。
如果业界一直以来的工作假设是：以人类节奏运作的检测与响应流程，可以合理地期望在初始访问与不可逆影响之间的某个时点发现入侵，那么一个能在 31 秒内自我修正的智能体，就是对这一假设的直接挑战。应对之道不能是“比机器更快地检测和响应”，因为这不是防御方能够指望一直赢下去的竞赛。应对之道必须落在架构上：无论攻击者变得多快，都要让一次快速、自适应的入侵所造成的后果可以被承受。
具体来说，对备份与恢复基础设施而言重要的那些属性，并不会因为攻击者从人类换成 AI 智能体而改变。它们只是从“理想目标”变成了“没有商量余地”：
- 凭据与身份分离，而且不依赖于有人及时注意到异常活动。如果能访问你备份环境的凭据，与智能体在数秒内就能从一台失陷主机上收集到的凭据是同一批，那么隔离就必须是结构性的，而不是流程性的。
- 经过验证、而不只是配置了的不可变性。 一个足够高权限的凭据就能悄悄禁用的保留锁，是一项假定人类攻击者会犹豫的控制措施。智能体不会犹豫。
- 假定攻击者已经了解你环境的恢复测试。 JADEPUFFER 的智能体能够实时适应失败的步骤。一份只针对单一、预期中的故障场景测试过的恢复计划，是为一个更慢、更可预测的对手准备的，而不是为现在已被证明可能出现的这种对手。
这对企业风险负责人意味着什么
JADEPUFFER 只是一起有记录的攻击活动，并不能证明如今每一次勒索软件行动都是自主的。但如果 Sysdig 的评估成立，那么一件此前停留在理论上的事情现在已经被观察到了：一个 LLM 智能体针对真实目标运行了一条真实的攻击链，其自我修正循环以秒计。
对风险负责人来说，现实的问题已不再是智能体勒索软件会不会变得更加常见。Sysdig 表示，防御方 “should expect the volume and breadth of such campaigns to rise as agentic tooling matures”（应当预计，随着智能体工具的成熟，此类攻击活动的数量和范围都将上升），IBM X-Force 也 “expects adversaries to automate complex tasks like reconnaissance and advanced ransomware attacks.”（预计对手会将侦察和高级勒索软件攻击等复杂任务自动化。）现实的问题是：你的恢复架构所依据的假设，是为以人类节奏行动的对手而建立的，还是为一个已经不再需要人类节奏的对手而建立的？
BackupSec 能做什么
在 BackupSec，我们的方法建立在一个前提之上，而 JADEPUFFER 让这个前提变得更加紧迫：预防终将失败，决定结局的是那个为承受失败而构建的层，无论导致失败的东西移动得有多快。
- ZeroMON 监控 Veeam Backup & Replication。它以 OVA 形式在本地部署，通过只读账户连接，不向 BackupSec 或任何第三方发送任何数据。它跟踪备份作业的健康状况，记录 Veeam 中的配置变更（谁在何时更改了什么），按照 Veeam 自身存储库设置所报告的情况显示不可变性状态，并持续展示 Veeam 的 Security Analyzer 检查清单。它的告警规则覆盖入侵者在 Veeam 一侧针对备份采取的动作，例如凭据变更、保留策略和计划的修改、作业被禁用以及删除会话。告警通过电子邮件和应用内通知发出。ZeroMON 监视的是 Veeam：它看不到其他主机上的凭据收集行为，它读取的是 Veeam 的不可变性设置，而不是检查存储本身上的锁定。
- ZeroTAM 为你的团队配备一名专属的备份安全顾问：架构评审、勒索软件恢复规划、容量规划，以及危机中的优先支持。你可以借助它来检验：你的身份分离、不可变性和隔离措施，是否是针对以人类节奏行动的攻击者而设计的。
- ZeroPEN 是针对 Veeam Backup & Replication、Veeam ONE 和 Enterprise Manager 的威胁主导型渗透测试。它分八个阶段模拟一条勒索软件攻击链，并映射到 MITRE ATT&CK，从初始访问和凭据滥用，到存储库访问和备份瘫痪，直至证明具备加密能力。该服务包含恢复完整性和不可变性验证，交付可直接用于审计的证据，并对严重发现进行复测。它是非破坏性的：ZeroPEN “never deletes real backups, performs real encryption, or stops production or backup services.”（绝不删除真实备份、不执行真实加密，也不停止生产或备份服务。）
JADEPUFFER 提出的问题不是你的防御够不够快，而是你的恢复架构在构建时，是否做到了不依赖防御的速度。
本分析参考了 Sysdig 于 2026 年 7 月发布的 JADEPUFFER 研究、IBM 的 2026 年 X-Force 威胁情报指数、Veeam 的 2024 年勒索软件趋势报告，以及 Sophos 2024 年关于备份遭破坏的研究，漏洞细节来自 NVD 和 CISA。文中的解读和框架为 BackupSec 自己的观点。如需探讨本分析如何适用于你的具体环境，请联系我们的团队 →