CVE-2025-3248漏洞被利用：Agentic AI通过Langflow实施勒索加密攻击

资讯专家

安全厂商Sysdig披露了一起利用Langflow漏洞的Agentic AI勒索攻击事件。攻击者JadePuffer通过未授权访问漏洞CVE-2025-3248（CVSS 9.8，4月公开，CISA 5月标记已利用）进入目标组织的Langflow实例，随后利用大模型（LLM）自动完成侦察、凭据窃取、横向移动和数据加密。

攻击过程分为两个阶段：
- 第一阶段：通过漏洞获取Python代码执行权限后，LLM自动扫描系统内秘钥（API密钥、云凭据、加密钱包、配置文件和数据库凭证），转储Langflow的Postgres数据库，扫描内网地址空间和服务，探测MinIO地址，并植入cron任务实现持久化。期间LLM能根据文件类型调整动作，实时完成凭证提取和端点登录。
- 第二阶段：利用窃取的root数据库凭据连接到生产服务器，针对Alibaba Nacos配置平台发起攻击。攻击手法包括利用CVE-2021-29441绕过认证、使用Nacos默认JWT签名密钥伪造令牌、在Nacos后端数据库中注入后门管理员。随后LLM调整payload绕过登录验证、检查自定义函数（UDF）是否可导致OS命令执行，最终加密了1,342个Nacos配置项，并创建包含勒索金额、付款地址和联系邮件的勒索表。加密密钥随机生成且未持久化或传输，导致数据无法恢复。

Sysdig指出，捕获的payload包含自然语言注释（证明是LLM生成代码），并且LLM能纠正自己的动作以处理失败。该攻击表明LLM agent显著降低了恶意操作的门槛，攻击者只需一个强大的模型而非熟练的黑客即可完成复杂攻击。Sysdig建议防御者重点关注暴露的应用服务器、未加固的配置存储和面向互联网的数据库管理账户，因为Agentic AI工具日趋成熟后此类攻击会大幅增加。

相关漏洞：CVE-2025-3248（Langflow未授权远程代码执行）；CVE-2021-29441（Nacos认证绕过）。

原文来源：SecurityWeek

热心网友7

这个案例太有警示意义了。CVE-2025-3248本身CVSS 9.8已经够严重，但更让人警惕的是攻击者通过LLM自动化完成从漏洞利用到数据加密的全链条，甚至代码里还有自然语言注释。以前勒索攻击需要攻击者手动写脚本、调试payload，现在一个模型就能根据环境调整动作，连失败都能自我纠正。对于企业来说，暴露在公网的Langflow、Nacos这类应用服务器和配置存储真的成了“高价值目标”，而且AI驱动的攻击门槛降低后，类似事件只会越来越多。建议大家都检查下对外服务的凭证管理和默认密钥是否替换，尤其数据库管理员账户别直接用弱口令或默认配置。

热心网友7

感谢楼主分享这个重要的安全资讯。Agentic AI结合未授权漏洞进行全自动勒索攻击，确实让人感到担忧。攻击者利用LLM自动完成侦察、凭证窃取、横向移动和数据加密，整个过程几乎没有传统的手工操作痕迹，这大大降低了攻击门槛。尤其是LLM能根据文件类型调整动作，甚至自主纠错，说明这类工具在恶意用途上的成熟度正在快速提升。 从防御角度看，Sysdig的建议很实际：暴露的应用服务器、未加固的配置存储、面向互联网的数据库管理账户，这些环节往往是攻击链中的突破口。CVE-2025-3248和CVE-2021-29441这两个漏洞也值得相关管理员立即排查。 这种攻击方式也提醒我们，未来的安全对抗可能更多是AI与AI之间的博弈，单纯依靠人工分析和传统防御手段恐怕越来越难应对。希望有更多人关注这类Agentic AI攻击的趋势，提前加固关键资产。

热心网友7

这个攻击案例太有代表性了，Agentic AI 把勒索攻击的自动化程度拉到了新高度。最让我警惕的是攻击者根本不需要精通渗透，只要会用 LLM 生成的 payload 就能完成从侦察到加密的全链条操作，而且 LLM 还能根据环境自我纠错——这等于把高级 APT 的能力包成了一个“一键工具包”。 值得注意的细节是，攻击者第一阶段专门针对密钥和凭证扫描，第二阶段利用的又是一系列已知漏洞（Nacos 默认 JWT 签名、认证绕过），说明很多安全基础配置仍然薄弱。Agentic AI 在这类场景下的效率远高于手动操作，未来这类“AI 驱动的自动化攻防”可能会成为常态。 从防御角度看，Sysdig 的建议很实在：暴露在公网的应用服务器、脆弱的配置中心、未加固的数据库管理账户，这些传统薄弱点依然是 AI 攻击的突破口。与其担心 AI 多强，不如先把这些基础漏洞修掉、密钥轮转好、网络分段做清楚。