您的凭证每季度轮换一次。机器用 31 秒完成了自我调试。

一个被攻陷的 AI 智能体本应只触及一个限定范围、可过期的凭证。而不是整个密钥库。而不是这台机器上的每一个 API 密钥。而不是一把六年未更换的签名密钥。

凭证绝不应该存放在代码运行的地方。它们不应该能被执行您工作流的东西发现。它们的存活时间不应超过其被签发所对应的那一次操作。

JADEPUFFER 证明了为什么。

首个自主勒索软件

2026 年 7 月初，Sysdig 威胁研究团队捕获了他们判定为首个被记录在案的完全自主勒索软件案例。一个 AI 智能体利用了 CVE-2025-3248——Langflow 中一个无需认证的远程代码执行漏洞——并从这一个立足点出发，执行了完整的杀伤链：侦察、凭证收割、横向移动、权限提升、加密与勒索。除初始访问外，全程无人类介入。

该智能体的第一步是对被攻陷主机进行扫描，收割所有可触及的密钥。它获取了 LLM 服务商 API 密钥（OpenAI、Anthropic、DeepSeek、Gemini）、AWS、GCP、Azure 以及中国服务商（阿里云、腾讯云、华为云）的云凭证、数据库密码、加密货币钱包以及助记词。它导出了 Langflow 自身的 Postgres 数据库，以提取存储的凭证与 API 密钥。它扫描了内网，发现 MinIO 对象存储正在使用默认凭证运行，并提取了 .env 文件、credentials.json 以及 terraform 状态。

这些手法没有一样是新东西。密钥就放在代码运行的地方。智能体只是比任何人类操作者都更快地找到了它们。

凭借收割来的凭证，以及一把自 2020 年起就已被公开记录的 Nacos JWT 签名密钥，该智能体伪造了有效的认证令牌，横向转移到一台生产环境 Nacos 配置服务器，并加密了全部 1,342 个配置项。AES 密钥是临时的：生成后输出到 stdout，从未持久化。这些配置已无法恢复。该智能体索要比特币赎金，并清空了生产数据库。

整个行动，从初始访问到勒索，全程端到端运行，没有任何人在回路中。

改变算计的那 31 秒

JADEPUFFER 的重要性不在于自动化，而在于适应速度。

当该智能体最初的 Nacos 后门尝试失败时（一个因 subprocess PATH 问题而产生空密码的 bcrypt 哈希），它诊断出根因、重写了载荷，并在 31 秒内发出了修正版本。修复涉及十五行相互配合的代码：删除损坏的账户，从 subprocess 切换为直接导入 bcrypt，验证库可用，生成正确的哈希，然后重新插入 admin 用户。

Sysdig 的时间戳表精确还原了这一序列：19:34:36 登录失败，19:35:07 修正载荷。一个人类操作者调试同一故障，最乐观也需要数分钟，更可能是数小时。

这不是一次性的。这一模式在整场会话中反复出现。当一个 MinIO 请求返回 XML 而非 JSON 时，下一个载荷立即调整了其解析器。当一次 JWT 伪造被拒绝时，该智能体放弃该密钥，转向了另一个攻击向量。当一次 DROP DATABASE 因外键约束而失败时，下一个载荷用 SET GLOBAL FOREIGN_KEY_CHECKS=0 将其包裹起来。每一次修正都针对特定的失败模式，而非通用重试。

在整个攻击活动中，该智能体生成了 600 多个互不相同的载荷，每个载荷都以自然语言推理进行自我注释，说明其目标选择逻辑。Sysdig 识别出四条相互独立的自主性证据：自我叙述的代码、机器速度的故障诊断、对目标环境中自然语言上下文的理解，以及一个可能从训练数据中被幻觉出来的比特币地址。

结构性的错配

勒索软件曾是一门由人操作的手艺。杀伤链的每一阶段都需要熟练的操作者：侦察、凭证获取、横向移动、持久化、加密。攻击周期以天计。事件响应以小时计。每季度一次的访问审查被视为勤勉尽责。

JADEPUFFER 将攻击者的周期压缩到数分钟，将自我调试回路压缩到数秒。防御方的时间线却没有任何变化。

这与智能体有多聪明无关。那台 Langflow 服务器把 API 密钥、云凭证和数据库密码放在环境变量与配置文件中。那把 Nacos 签名密钥是一个自 2020 年起未变更的默认值。MySQL 以 root 凭证运行。此次事件中的每一个凭证都是静态的、存储在磁盘上、并通过环境变量枚举即可发现的。智能体不需要聪明。密钥早已在那里，静静等待着。

本可遏制它的架构

防御不在于更好地检测自主智能体，也不在于更快的事件响应，而在于不会持久存在足够久、从而被发现的凭证。

限定在单一任务范围内、几分钟内过期的临时凭证，将改变此次攻击每一个阶段的爆炸半径。一把绑定单一机器、仅对一次操作有效、对操作者不可见的凭证，不会存活到足以被一次环境变量扫描收割。一把按请求签发、而非作为静态默认值嵌入的签名密钥，不可能用一个已被公开记录的值来伪造。

凭证持有方与凭证使用方必须处于不同的信任域。智能体应收到一个限定范围、可过期的令牌，而不是整个密钥库。每一次签发都应被记录，并归属到具名的操作主体。

这正是 Clavitor 所构建的架构。不是为智能体存放可供发现的密钥，而是签发智能体无法保留的凭证。

Clavitor（@clavitorai）是为 AI 智能体而建、同时也是防备它们的凭证库。clavitor.ai

资料来源

[1] Sysdig（Michael Clark）— JADEPUFFER: Agentic ransomware for automated database extortion — https://www.sysdig.com/blog/jadepuffer-agentic-ransomware-for-automated-database-extortion

[2] Sysdig 威胁研究团队 — JADEPUFFER 公告 — https://x.com/sysdig/status/2072391452672282709

[3] xAI Search — JADEPUFFER 自主勒索软件分析，多位研究者确认 31 秒自我调试周期与 1,342 个被加密的配置项 — 多条 X 讨论串，2026 年 7 月