传统勒索软件加密你的文件——ENCFORGE 加密的是你的 AI 模型。重建成本每模型 50 万美元。你好我是老张。如果你以为勒索软件还是“加密文档、勒索比特币”那套老把戏那 2026 年 7 月的这起事件会刷新你的认知。一个名为JADEPUFFER的“智能体威胁行为者”搭载了一款名为ENCFORGE的全新勒索软件从漏洞利用到容器逃逸再到文件加密——整套攻击链完全围绕 AI 基础设施设计。它不是加密你的 Word 文档。它加密的是你训练完成的 AI 模型权重、训练数据集、向量索引。仅重新训练一个被加密的模型成本就可能高达 50 万美元。这篇文章我把 JADEPUFFER 和 ENCFORGE 的攻击手法、技术细节、演进路径全部拆给你看。 本文导航text一、JADEPUFFER首个被完整观测的“智能体威胁行为者” 二、攻击链条拆解从 Langflow 漏洞到 ENCFORGE 部署 三、ENCFORGE 技术分析专为 AI 基础设施设计的勒索软件 四、惊人的进化速度十几天内从临时脚本到专用武器 五、2026 年的新威胁AI 基础设施成为攻击者的头号目标 六、给企业的防御建议 七、总结与粉丝福利一、JADEPUFFER首个被完整观测的“智能体威胁行为者”1.1 什么是“智能体威胁行为者”JADEPUFFER是业界首个被完整观测到的智能体威胁行为者Agentic Threat Actor, ATA。和传统人工操作的黑客不同高度自主攻击过程几乎不需要人工干预实时调整能根据环境反馈实时调整策略自我纠错遇到执行失败的 payload 能在31 秒内完成诊断并修正Sysdig 威胁研究团队的判断这是“首个有完整记录的、由自主 AI 智能体端到端执行的勒索软件攻击案例从初始访问到勒索全程无需人类操作员下达指令”。1.2 两次攻击十几天内的快速进化第一次攻击2026 年 7 月 1 日JADEPUFFER 利用开源 AI 框架 Langflow 的漏洞 CVE-2025-3248 进入系统自主完成了侦察、凭证窃取、横向移动最后对 MySQL 和 Nacos 数据库执行加密勒索。第二次攻击仅仅十几天后JADEPUFFER回到同一个目标带来了一套完全升级的武器库。攻击目标从业务数据库转向了杀伤力更强的 AI 模型资产。二、攻击链条拆解从 Langflow 漏洞到 ENCFORGE 部署2.1 入口Langflow CVE-2025-3248Langflow 是目前应用最广的开源 LLM 应用编排框架之一很多企业用它快速搭建 AI 工作流。漏洞出现在/api/v1/validate/code接口——攻击者不需要任何账号权限就能向接口提交恶意代码并在服务器上执行。由于 Langflow 运行环境里通常存着大模型服务商 API 密钥、云服务凭证、数据库连接串等敏感信息它天然就是高价值的攻击入口。该漏洞在 2025 年 5 月已被列入 CISA 已知被利用漏洞目录。2.2 第一阶段标准后渗透操作进入系统后JADEPUFFER 先执行基础命令确认系统身份接着扫描环境里的各类凭证云服务商密钥、数据库连接串、API 令牌再探测内网服务的连通性。2.3 第二阶段发现 Docker 套接字它发现了宿主机的 Docker 套接字文件/var/run/docker.sock。⚠️对容器环境稍有了解的人都知道能访问这个文件就约等于拿到了宿主机的 root 权限。攻击者可以通过它创建特权容器直接读写宿主机上的所有文件。2.4 第三阶段5 分 24 秒的自我进化JADEPUFFER 尝试从远程 C2 服务器下载勒索二进制文件lockd但这次下载失败了。换做普通攻击到这一步可能就停滞了。但 JADEPUFFER 没有放弃。它直接进入了第三阶段——当场编写逃逸工具把二进制文件从容器内部送到宿主机上。在5 分 24 秒的时间里它连续迭代了 6 个版本的 Python 脚本每一个版本都针对性修正了上一版的错误。为了躲避特征检测它还采用了逐行构造代码、base64 编码一次性执行的方式把执行结果藏在报错信息里回传常规的 shell 命令检测根本抓不到痕迹。最终成型的deploy.py脚本实现了完整的自动化流程。三、ENCFORGE 技术分析专为 AI 基础设施设计的勒索软件3.1 目标180 种文件扩展名ENCFORGE 是用Go 语言编写的、UPX 打包的勒索软件。它针对约180 种文件扩展名进行加密覆盖了现代 AI/ML 技术栈的几乎所有关键组件模型检查点Model Checkpoints向量数据库Vector Databases训练数据集Training Datasets嵌入索引Embedding Indices3.2 为什么 ENCFORGE 比传统勒索软件更致命对比维度传统勒索软件ENCFORGE攻击目标办公文档、数据库AI 模型权重、训练数据、向量索引恢复难度从备份恢复即可无法从备份恢复——模型需要重新训练恢复成本相对较低每模型$75,000 - $500,000计算和工程成本恢复时间数小时到数天数周到数月关键洞察传统勒索软件赌的是“你没有备份”。ENCFORGE 赌的是——即使你有备份你也无法恢复一个训练好的 AI 模型。重建一个生产级微调模型需要重新运行数周甚至数月的训练。如果训练数据在同一台主机上恢复将被完全阻断。四、惊人的进化速度十几天内从临时脚本到专用武器JADEPUFFER 的进化速度是这次攻击最令人不安的部分。对比维度第一次攻击7 月 1 日第二次攻击7 月中旬攻击工具临时编写的 Python 脚本ENCFORGE——编译好的 Go 勒索软件加密方式MySQL 自带的AES_ENCRYPT()专用加密模块针对 AI 文件格式优化攻击目标业务数据库MySQL NacosAI 模型权重、训练数据、向量索引攻击入口Langflow CVE-2025-3248同一个漏洞同一个入口十几天时间攻击能力实现了代际跃升。而且ENCFORGE 中嵌入的联系邮箱与第一次攻击完全一致——这是同一个攻击者或同一个 AI 智能体只是武器升级了。五、2026 年的新威胁AI 基础设施成为攻击者的头号目标5.1 为什么是 AI 基础设施高价值训练一个 AI 模型的成本高达数十万美元难恢复模型无法像文件一样从备份“恢复”高依赖企业的 AI 业务一旦中断损失无法估量攻击面大Langflow、Ray、Jupyter 等 AI 框架普遍存在安全配置问题5.2 趋势攻击正在从“数据勒索”转向“AI 资产勒索”2026 年的勒索软件攻击正在经历一次根本性的目标转移第一代加密文件 → 勒索赎金第二代加密文件 威胁泄露数据双重勒索第三代现在加密 AI 模型→ 勒索天价赎金因为恢复成本极高ENCFORGE 就是第三代的标志性产物。六、给企业的防御建议 立即行动高危排查 Langflow 等 AI 框架检查是否使用了存在 CVE-2025-3248 等已知漏洞的版本立即升级严禁暴露 Docker 套接字/var/run/docker.sock不应在容器内可访问AI 模型资产分级保护将训练完成的模型权重、训练数据集列为最高级别数据资产 季度内完成建立 AI 资产备份策略虽然模型无法“恢复”但可以定期保存检查点到隔离环境实施容器安全加固最小权限原则、禁用特权容器、启用 Seccomp/AppArmor部署运行时安全监控使用 Falco 等工具监控容器异常行为 长期建设建立 AI 供应链安全体系评估所有 AI 框架和依赖的安全状况制定 AI 资产应急响应预案假设模型被加密你如何在最短时间内重建七、总结JADEPUFFER 和 ENCFORGE 的出现标志着勒索软件进入了一个全新的时代攻击者从“人”变成了“AI 智能体”——自主决策、自我纠错、快速进化攻击目标从“数据”变成了“AI 模型”——加密后几乎无法恢复攻击速度从“天”变成了“分钟”——5 分 24 秒迭代 6 个版本传统勒索软件加密的是你的过去文档。ENCFORGE 加密的是你的未来AI。 互动话题你的企业是否在使用 Langflow、Ray 等 AI 编排框架这些系统的安全配置你心里有数吗欢迎在评论区分享你的看法——每一条我都会认真回复。点赞、收藏、转发三连让更多同行看到这个正在崛起的新威胁 勒索软件防御实战资料包评论区回复“勒索防御”即可免费领取①JADEPUFFER ENCFORGE 完整技术分析报告②Langflow CVE-2025-3248 漏洞排查与修复指南③AI 模型资产分级保护与备份策略模板④容器安全加固 checklistDocker/Kubernetes⑤Falco 运行时安全规则集可直接部署⑥AI 基础设施攻击面评估 checklist⑦勒索软件应急响应预案模板2026 版⑧Sysdig 2026 云原生安全报告全文⑨AI 供应链安全评估指南 领取方式 参考来源Sysdig 威胁研究团队 JADEPUFFER 报告2026 年 7 月Sysdig《JADEPUFFER evolves》技术分析2026 年 7 月 20 日安全内参《ENCFORGE一款专门销毁AI模型和基础设施的勒索软件》2026 年 7 月 21 日CISA 已知被利用漏洞目录CVE-2025-3248本文案例与数据均来源于 2026 年 7 月 Sysdig 威胁研究团队报告及公开报道仅供学习参考。如果觉得有用别忘了「点赞 在看 转发」三连评论区等你来聊