上周，云安全公司 Sysdig 研究人员披露了首例已知的“代理勒索软件”案例。该行动名为 JadePuffer，由 AI 代理全程自主执行现实世界网络攻击的技术操作：入侵漏洞服务器、窃取凭据、横向移动、加密文件并撰写勒索信，期间还能像人类黑客一样适应障碍。报道称其“无任何人工监督”、“无人在键盘前操作”。
人类仍深度参与指挥与基础设施搭建
Sysdig 威胁研究高级总监 Michael Clark 澄清，人类虽未直接进行技术执行，但仍负责设置和指挥此次行动，并提供命令与控制服务器、数据暂存服务器等基础设施及受害者选择。此外，用于入侵数据库的凭据系人为通过先前漏洞获取后提供给 AI 代理，并非其自行获取。
攻击技术细节令人震惊
AI 代理利用开源工具 Langflow 的已知漏洞进入系统，随后转向生产环境 MySQL 服务器并利用另一缺陷获取管理员权限。它加密了超 1,300 条配置记录，留下了自撰勒索信及比特币赎金地址。Sysdig 尚未披露受害者身份。
尽管技术手段看似普通，但其速度与透明度引人注目：代理在 31 秒内修复失败登录尝试，并全程用自然语言代码注释叙述推理过程。
多模型密钥仅为战利品而非驱动因素
针对“攻击中使用多个模型”的说法，Clark 澄清称 OpenAI、Anthropic、DeepSeek 和 Gemini 等密钥仅是代理扫描窃取的战利品（包括 API 密钥、云凭据、钱包等），表明攻击者认为有价值的内容，但不能证明是驱动攻击的因素。Sysdig 无法确定具体驱动模型，也无系统提示词或配置的可见性。
去安全训练模型嫌疑与未来趋势预警
微软研究员 Geoff McDonald 推测攻击背后可能是去除安全训练的开放权重模型，而非前沿模型，因前沿实验室安全层表现良好。Sysdig 对此既未证实也未排除。
McDonald 警告称，勒索软件活动现主要受限于预算而非人力，可能导致数千甚至数万起同时进行的攻击。尽管当前人类选择目标和提供基础设施仍是瓶颈，但 Clark 预计随着代理运行成本极低，类似攻击将会增多。