ENCFORGE勒索软件利用Langflow RCE漏洞后攻击AI模型

爱拍照的老李
爱拍照的老李

爱拍照的老李

2026年7月27日 09:00
湖北

在小说阅读器读本章

去阅读

导读

一个名为JADEPUFFER的AI驱动的攻击者构建了专门针对AI模型文件的勒索软件，通过已知的Langflow RCE漏洞入侵，并经由暴露的Docker socket进行横向移动。

一个AI智能体入侵了Langflow服务器，陷入僵局后，自行找到了突破路径。5分24秒后，它就为一种名为ENCFORGE的新型勒索软件搭建好了可用的部署流程。

这是Sysdig公司针对一个被其称为JADEPUFFER的威胁组织发布的最新研究中的核心发现。

它所构建的恶意载荷是研究人员此前从未记录过的新型勒索软件：这种勒索软件会跳过你的文档，直接针对你的AI模型发起攻击。

这款名为ENCFORGE的勒索软件主要针对机器学习基础设施相关的约180种文件扩展名，包括PyTorch和TensorFlow检查点、Hugging Face SafeTensors文件、llama.cpp使用的GGUF和GGML权重、FAISS向量索引，以及Parquet、Arrow和TFRecord格式的训练数据。

它不会触碰普通办公文档，攻击目标是模型而非桌面设备。

ENCFORGE勒索软件的入侵方式

此次入侵通过CVE-2025-3248发起，这是Langflow的/api/v1/validate/code接口中一个严重的未授权代码注入漏洞。

1.3.0之前的所有版本都会无需登录即可执行发送到该接口的任意Python代码。该漏洞的CVSS评分为9.8分。自2025年5月被用于传播Flodrix僵尸网络后，该漏洞已被列入CISA已知被利用漏洞目录。

进入系统后，攻击者发现了一个暴露在外的 Docker 套接字。他们利用该套接字启动了一个特权容器，挂载了主机的根文件系统，随后通过 nsenter 进入该文件系统，运行勒索软件二进制文件，就像该文件直接运行在主机上一样。

BleepingComputer 对该攻击活动的报道补充称，攻击者还从主机中提取了云服务提供商密钥、数据库连接字符串和 API 令牌，以实现横向移动。

由其针对的模型构建

Sysdig 威胁研究主管迈克尔·克拉克（Michael Clark）表示，这种搭配是刻意为之的：“将 Langflow 作为初始攻击向量，搭配 ENCFORGE 作为有效载荷，绝非巧合。”

Sysdig 将 JADEPUFFER 定性为自主智能体，而非依据既定操作手册开展工作的人类攻击者。

人工智能正出现在人工智能安全体系的进攻端，而不仅仅是防御方用来更快发现漏洞的工具。

首次部署尝试失败。操作员没有放弃，而是反复尝试，在大约五分钟内编写了六个独立的 Python 脚本来解决该故障。最终采用了 Sysdig 标记为deploy.py v2的脚本，该脚本可端到端处理目标发现、有效载荷交付以及执行验证。

研究人员还注意到，有效载荷代码中留有自然语言注释，这是大型语言模型生成的产物。具有讽刺意味的是，这类注释让防御者更容易发现该恶意软件。