勒索软件组织花了十年时间才让攻击者无需任何技术能力。勒索软件即服务（RaaS）模式让任何愿意瓜分赎金的人都能获得攻击工具包。如今，他们又移除了一个新的障碍：完全不需要人为操作键盘。
2026年6月，研究人员 Sysdig记录了他们认为是首例几乎完全由人工智能代理运行的勒索软件攻击活动。从最初的立足点到勒索信，他们将其命名为 JadePuffer。这是迄今为止最清晰的证据，表明问题不再是人工智能代理能否自动发起勒索软件攻击，而是防御者需要多快才能跟上。
该行业早已存在的问题
勒索软件并不需要人工智能就能发展成一项产业规模庞大的业务。根据…… Akamai勒索软件报告勒索软件即服务 (RaaS) 模式的运作方式已经如同合法的供应链：开发者构建恶意软件，联盟成员执行攻击并按高达 90/10 的利润分成比例进行分成，初始接入代理商则以低至 3,000 美元的价格出售网络立足点。勒索手段也随之升级：从单一勒索，到双重勒索（加密并泄露），再到三重勒索（增加 DDoS 攻击），直至四重勒索——攻击者现在甚至会联系受害者的客户和合作伙伴来强迫其支付赎金。
多年来，大多数组织都采用相同的应对方式：备份数据、隔离网络、寄希望于攻击者的联盟营销活动淡季。但这注定是徒劳的。据估计，勒索软件攻击的平均恢复成本为 2.73 万美元，平均停机时间为 21 天。网络安全风险投资公司 (Cybersecurity Ventures) 预测，到 2031 年，全球每天将发生 43,200 起勒索软件攻击。
人工智能并非造成这个问题的原因，它只是消除了人为造成的最后一个瓶颈。
变化之处在于：发起勒索软件攻击的不再仅仅是恶意软件，而是一个人工智能代理。
在 JadePuffer 出现之前，这种趋势就已经显现。据报道，勒索软件即服务 (RaaS) 组织 FunkSec 使用生成式人工智能 (AI) 编写勒索软件代码、生成新的变种，并与受害者运行谈判聊天机器人，这主要是因为该组织自身缺乏深厚的技术专长。其他威胁行为者也利用 AI 来撰写极具说服力的网络钓鱼邮件，并进行冒充真实员工的语音钓鱼电话。WormGPT、DarkGPT 和 FraudGPT 等通用工具的存在正是为了降低此类社会工程攻击的技术门槛。甚至像 Forest Blizzard（Fancy Bear）和 Emerald Sleet 这样的与国家有关联的组织，据报道也使用大型语言模型来模仿官方文档，从而加快漏洞研究速度。
JadePuffer 更进一步。攻击者没有使用人工智能编写脚本或钓鱼邮件，而是将一个自主代理指向目标并让它执行攻击。 黑客新闻, BleepingComputer和 CyberScoop该攻击活动利用了两个已知的漏洞：Langflow（一个用于构建LLM应用程序的开源框架）中的一个未经身份验证的远程代码执行漏洞（CVE-2025-3248）以及Nacos中的一个身份验证绕过漏洞（CVE-2021-29441）。Langflow漏洞自2025年4月起已被修复，但一直未被发现。 CISA 的已知漏洞利用列表，但面向互联网的实例仍然暴露在外。
从那时起，该代理并非只是执行脚本，而是用自然语言进行推理，描述自身的目标定位过程。cis整个过程涵盖了各种攻击手段：侦察、凭证窃取、横向移动、持久化、权限提升和加密。CyberScoop 的报道谨慎地指出，该代理并非独立完成所有步骤，但它将通常需要熟练操作员数小时才能完成的工作压缩到了几分钟。当某个环节出现故障时，它会在无需人工干预的情况下进行调整：在一个有记录的案例中，一次失败的尝试…… login 尝试已纠正，并在大约 31 秒后成功重试。
然而，最能说明问题的细节并非速度，而是JadePuffer中的“赎金”即使受害者支付了也可能无法恢复。Sysdig发现，加密密钥实际上是由随机数据生成的，并打印到终端上，但从未被保存或传输到攻击者可以随时取回的地方。该代理还伪造了一个并不存在的比特币钱包地址。综上所述，JadePuffer并没有运行一个有效的勒索方案，它只是销毁了数据并留下了一封勒索信。对于防御者来说，理解这一点或许比理解自动化本身更有价值：一个将勒索软件的TTP（战术、技术和程序）串联起来的AI代理并不能保证它构建了一个类似有效攻击者商业模式的东西。
JadePuffer并非个例。此前，Anthropic公司曾在2025年8月披露，其Claude Code工具被用于勒索活动，攻击了至少17家机构；同年11月，该公司又披露了一起被其称为由国家关联组织发起的、几乎无人干预的自主网络攻击。Trend Micro的安全研究人员此前已将2026年称为“人工智能辅助勒索软件元年”。JadePuffer的出现，标志着这一预言不再是空穴来风。
如果你想更全面地了解人工智能如何重塑攻击面（不仅仅是勒索软件），那么接下来的五分钟值得一看：
即使你不是下一次勒索软件攻击的目标，这一点也很重要
关于智能勒索软件，有三件事比标题本身更应该让防御者担忧：
- 攻击门槛不断降低。勒索软件即服务（RaaS）已经意味着攻击者无需编写勒索软件。而智能代理人工智能（Agentic AI）的出现，意味着他们甚至越来越不需要亲自执行攻击。租用一个智能代理比招募一名熟练的攻击者更便宜、更快捷。
- 入口点在于您自己的AI堆栈。JadePuffer并非通过钓鱼邮件入侵，而是通过一个未打补丁的AI应用框架入侵的——而这正是开发和数据团队正在快速搭建的工具类型，通常安全团队对此并不知情。
- 攻击以机器速度进行。一个能够修复自身故障的代理。 login 31 秒内完成检测并不意味着要等到客服人员起床后明天再试。之前假设检测速度符合人类习惯的检测窗口已经不再适用。
这一切都不会改变勒索软件应对的根本原则。英国国家网络安全中心（NCSC）对此立场明确：不要支付赎金，因为支付赎金并不能保证找回数据，也不能清除感染，反而会让你更容易成为再次攻击的目标。NCSC的核心建议——离线备份、事件响应计划和持续监控——仍然是应对勒索软件攻击的基础。人工智能改变的是，这些基础措施能为你争取多少时间，以及攻击者可能从哪里发起第一次攻击。
应用安全团队真正应该关注的地方
对安全团队而言，实际的转变并非“购买人工智能检测器”，而是认识到人工智能代理、人工智能应用框架和人工智能生成的代码现在已成为攻击面的一部分，而不仅仅是防御的一部分。
这意味着要将某些事情视为一级风险，而不是边缘情况：
- 您团队部署的 AI 框架。Langflow 并非目标，而是入口。任何面向互联网的 LLM 应用框架、代理编排器或 Copilot 后端都需要像公共 API 一样遵循相同的补丁管理规范。
- 您的编码代理和副驾驶在无人监督的情况下可以执行哪些操作？如果一个代理无需人工检查即可安装软件包、编辑配置文件或调用 MCP 工具，那么攻击者就可以操纵该代理执行这三项操作。
- 恶意软件包尚未被识别为特征码。攻击者利用人工智能更快地生成新的勒索软件变种，这也意味着会出现传统的基于特征码的恶意软件扫描方法无法检测到的新型有效载荷。
这是预cis差距 Xygeni 的 DevAI 代理 它的设计目标是实现闭环监控：它不是一个事后扫描代码的IDE插件，而是一个驻留在开发者环境中的代理，在其他代理执行操作之前对其进行检查。这包括捕获隐藏在代理规则和配置文件中的恶意指令（包括不会显示在文本中的不可见Unicode字符）。 pull requestXygeni 的实时拦截软件包安装过程，可在恶意软件和恶意抢注的仿冒软件包安装之前将其拦截，并监控 MCP 工具调用，以检测恶意代码和代理程序的异常行为。 恶意软件预警 (MEW) 即使在恶意软件特征码出现之前，它也能检测到这些软件包，这对于一小时前由人工智能模型生成的有效载荷来说至关重要。而且，Xygeni 的 ASPM 该层还将同样的智能应用于第三方扫描器的发现，安全团队无需抛弃现有工具来弥补代理差距：他们只需扩展已有的工具即可。
智能体勒索软件并非遥不可及的未来威胁，JadePuffer 勒索软件事件已然发生。那些能够领先于下一次勒索软件攻击的组织，必定是那些从今天起就将自身的人工智能代理及其供应链纳入安全边界的组织。 看看将人工智能代理视为安全边界的一部分究竟是什么样子：
常见问题解答
什么是代理型勒索软件？
智能体勒索软件是一种由自主人工智能代理而非人类操作员执行大部分攻击生命周期的勒索软件攻击，这些攻击包括侦察、窃取凭证、横向移动、持久化、加密，甚至编写勒索信。虽然目标和目标仍然由人类设定，但人工智能代理负责执行具体操作并自主应对各种挑战。
JadePuffer 是一次真实的攻击还是一次研究演示？
JadePuffer 是一起真实的攻击事件，由云安全公司 Sysdig 分析，该攻击于 2026 年 6 月袭击了一个生产数据库。它与 PromptLock（也称为 Ransomware 3.0）不同，后者是早期的 AI 勒索软件概念，但最终被证实只是一个学术研究原型，而不是在实际环境中发生的攻击。
JadePuffer中的人工智能代理是如何进入系统的？
CVE-2025-3248 漏洞暴露了 Langflow 框架中未经身份验证的远程代码执行漏洞。Langflow 是一个用于构建 LLM 应用程序和代理工作流的开源框架。该漏洞的补丁程序已于 2025 年 4 月发布，但一直未被修复。 CISA 的已知漏洞利用列表已发布，但面向互联网的 Langflow 实例仍在运行，未打补丁。
人工智能是否使勒索软件攻击更难阻止？
它改变的是问题的形式，而非问题的本质。人工智能代理缩短了从初始访问到造成影响的时间，因为它们会重试失败的步骤并进行调整，无需等待人工干预。这意味着检测和响应也需要以机器速度运行。核心防御措施，例如修补面向互联网的系统、限制代理在无人监督的情况下可以执行的操作以及在恶意软件特征码出现之前将其拦截，变得更加重要，而不是不那么重要。
如果我的组织遭受人工智能驱动的勒索软件攻击，是否应该支付赎金？
英国国家网络安全中心的指导意见适用于所有情况，无论是否涉及人工智能：付费并不能保证找回数据，也无法清除病毒，反而会资助进一步的犯罪活动，并增加再次成为攻击目标的风险。离线备份、事件响应计划和监控仍然是基本的防御措施。
开发和安全团队如何防范人工智能代理被用作攻击媒介？
将 AI 框架和编码代理视为攻击面的一部分：像对待任何公共 API 一样修补面向互联网的 AI 应用程序基础设施，限制副驾驶和代理在未经人工审核的情况下可以执行的操作（安装软件包、编辑配置、调用 MCP 工具），并使用不依赖于已知签名的恶意软件检测，因为 AI 生成的勒索软件变种每次都可能是新的。
