这不是科幻片，也不是远处的安全故事。它提醒所有正在接入 AI 工具、低代码平台、Agent 工作流的团队：只要服务暴露、补丁落后、凭证乱放，机器就能比人更快地把风险串起来。

本文只做安全提醒和风险解读，不展开可复现攻击细节。

一个信号：AI Agent 已经不只是“会回答”

最刺眼的地方，不是“勒索软件”四个字，而是“全程自主”。安全厂商 Sysdig 披露，威胁研究团队观察到一个名为 JADEPUFFER 的行动：它利用暴露在公网的 Langflow 旧漏洞进入系统，随后自己搜索密钥、梳理环境、横向移动，最后对生产数据库相关配置进行加密破坏。

换句话说，过去需要人盯着屏幕一步步判断的事，现在被 AI Agent 连成了流水线。

安全媒体 The Hacker News 对 AI Agent 勒索攻击的报道配图。

如果只把它看成一条技术新闻，就低估了它。它真正击中的，是企业最常见的三个薄弱点：旧版本没升级、默认凭证没改、生产权限没收紧。

这次事件有几个数字很扎眼：31 秒内自我修正、超 600 个动作载荷、1342 条配置数据被加密。数字背后不是“炫技”，而是一个更现实的问题：机器不会累，机器不会忘，机器会持续试错。

更值得注意的是，Sysdig 认为这不是用了什么全新的神秘漏洞。相反，它把已经公开、已经修复、但仍然没有被很多人处理掉的问题，组合成了一次完整行动。

它不是更聪明的黑客，而是更快的流水线

JADEPUFFER 的可怕之处在于，它把“侦察、找钥匙、换入口、进生产、加密配置”这些环节连续推进。每一步单独看，都不是安全圈没见过的东西；串起来，就变成了业务层面的真实损失。

这里的重点不是某个工具，而是“AI Agent + 过大权限 + 暴露面”的组合。只要 Agent 能执行代码、读环境变量、访问网络、调用数据库，它就不再是一个聊天窗口，而是一名有行动能力的数字员工。

问题不新，但被 AI 放大了

这次入口涉及 Langflow 的 CVE-2025-3248。NVD 对该漏洞的描述显示，Langflow 1.3.0 之前版本存在代码注入风险，未认证的远程攻击者可触发任意代码执行；CVSS 3.x 基础分为 9.8，属于高危级别。CISA 也已将该漏洞加入已知遭利用漏洞目录。

Nacos 侧暴露的问题同样并不新。NVD 对 CVE-2021-29441 的描述显示，Nacos 1.4.1 之前在特定认证配置下存在绕过风险。放在传统环境里，这是一个需要尽快修的老漏洞；放在 AI Agent 场景里，它会成为自动化链路里的下一块拼图。

所以，这不是“AI突然会攻击”，而是我们给了它太多能动手的条件。

多家安全媒体和科技媒体的报道指向同一个结论：这次事件的标志意义，在于 AI Agent 可以把已知漏洞、凭证搜索、服务发现和数据库破坏串成端到端流程。

企业现在最该做的，不是害怕 AI，而是盘点暴露面

不要把这事理解成“只要不用 Langflow 就没事”。Langflow 只是这次的入口之一。真正需要警惕的是：任何能执行代码、能保存密钥、能连内网、能访问数据库的 AI 工具，一旦暴露在公网，都可能被机器反复试探。

最容易被忽视的，是“环境变量里的密钥”和“方便测试留下的账号”。开发时为了快，可能把云密钥、模型 Key、数据库连接串放在一个地方；上线后忘了收。对人来说，这是坏习惯；对 AI Agent 来说，这是现成的地图。

AI Agent 进入企业，安全规则也要升级

传统安全更多盯“人”和“系统”。现在还要多盯一类对象：会自己计划、自己调用工具、自己修正错误的 Agent。它不是员工，却能拥有员工的权限；它不是脚本，却能根据结果调整下一步。

真正可靠的做法，是把 Agent 当成一个需要身份、权限、审计和边界的系统对象。不要让一个 Agent 共用超级账号，不要让它随意读取所有配置，不要让它能无条件连外网，更不要让它直接接触生产库的最高权限。

结尾：别把门留给机器慢慢试

这次事件给人的寒意，不在于 AI 有多“邪恶”，而在于它很会把人类长期拖延的问题放大。补丁没打，默认密码没改，Root 账号还在，服务还裸露在公网——这些过去也危险，只是现在会被机器更快、更密、更便宜地试出来。

对企业来说，AI Agent 是效率工具，也是风险放大器。用得好，它能帮你自动化；管不好，它也可能把你的漏洞自动化。真正的分水岭，不是你有没有 AI，而是你有没有把权限、凭证、网络和监控重新整理清楚。