Encforge 勒索软件通过 Langflow CVE-2025-3248 攻击 AI 服务器

CVE-2025-3248 如何为攻击者提供对 Langflow 服务器的初始访问权限

Langflow，一款用于构建和编排 AI 智能体工作流的开源平台，已成为新一轮勒索软件攻击的入口。根据 Sysdig 的研究，攻击者正在利用 CVE-2025-3248，这是 Langflow 中的一个漏洞，允许他们在无需有效凭证的情况下接触暴露的实例并执行代码。这一初始立足点与 Sysdig 追踪的名为 JadePuffer 的威胁组织在早期行动中使用的手段相同，但通过该漏洞传递的攻击载荷已发生显著变化。

这次攻击值得关注的不只是漏洞本身，更在于 AI 开发工具中的缺陷现已证明是一条可重复进入组织基础设施的路径，攻击者正将其视为发动日益严重后续攻击的跳板，而非一次性的“打了就跑”。

从 JadePuffer 脚本到编译后的 Encforge 勒索软件：攻击如何演变

Sysdig 早前对 JadePuffer 活动的调查发现了一种相对简陋的手法：即兴编写的脚本配合数据库原生加密功能，在入侵后锁定数据。这种方法虽然有效，但相比专业勒索软件团伙通常部署的工具显得粗糙。

最新的攻击波次显示出明显的升级。攻击者通过 Langflow 漏洞获取权限后，不再依赖临时拼凑的脚本，而是投放了一个名为 Encforge 的编译型勒索软件二进制文件。该二进制文件旨在有条不紊地遍历文件系统，并专门针对机器学习资产，而不是加密通用文件并寄希望于其中包含有价值的东西。

Sysdig 通过赎金通知中的一个细节——两份攻击行动中重复使用的联系地址——将较新的 Encforge 活动与早期的 JadePuffer 活动关联起来。这种重叠表明是同一团伙，或者至少是相同的基础设施和工具谱系，正在随着时间的推移改进其方法，而非从头开始。从即兴脚本转向专用二进制文件是一次有意义的成熟度跃升，并表明该团伙期望在未来继续使用这种访问方式。

为何 AI 和 ML 工作负载正成为勒索软件目标

攻击者现在构建专门针对机器学习资产的工具，而不是仅仅加密磁盘上的任何文件，是有原因的。AI 基础设施通常承载着昂贵且难以重现的内容：训练好的模型、流水线配置、数据集以及将它们连接起来的编排逻辑。失去对这些内容的访问，或者这些内容暴露并受到勒索信息的威胁，对组织造成的破坏可能与丢失客户数据库或财务记录同样严重。

像 Langflow 这样的自托管 AI 平台也常常被快速部署，部署团队有时更关注让工作流跑起来，而非锁定网络暴露面。这种组合——有价值的数据加上仓促的部署——正是勒索软件运营者所寻觅的特征。这次攻击是 Sysdig 一直在记录的更广泛趋势的一个具体例证：AI 系统不仅对防御者和攻击者都是有用的工具，它们自身也正成为目标。同一研究团队对一次完全自主 AI 勒索软件攻击的报道展现了这一转变的另一面，即 AI 智能体正被用来在几乎无需人类指导的情况下执行完整的入侵。这些发现共同表明，AI 基础设施如今已处于勒索软件方程式的两端——既是目标，也是工具。

保护自托管 AI 工具和云工作负载的实用步骤

运行 Langflow 或类似 AI 编排平台的组织，应以对待任何面向互联网的服务器的相同安全纪律来对待它们，而不是将其视为实验沙盒。这意味着尽快应用针对 CVE-2025-3248 的补丁，并审计是否存在没有明确业务理由就可从公共互联网访问的 Langflow 实例。

除了打补丁，还应将 AI 工作负载与更广泛的生产网络隔离，以便被攻破的实例无法轻易横向移动至其他系统。特别要对训练好的模型和流水线配置进行离线或不可变备份，因为它们现已被证明是勒索软件的目标。监控托管 AI 工具的服务器上是否存在异常的文件系统遍历活动以及意外出现的二进制文件，因为这正是 Sysdig 观察到的 Encforge 行为。

这对您意味着什么

如果您的组织部署了 Langflow 或任何类似的自托管 AI 开发平台，这次攻击是一个直接信号，表明您应当现在就检查暴露面，而非等到事件发生后。此处观察到的 Langflow 勒索软件 CVE 利用链无需高级技术即可触达受害者，只需一个未打补丁的、面向互联网的实例。对安全团队而言，教训是 AI 工具需要像任何其他关键基础设施一样，被清点、打补丁和监控，而不是被当作低优先级的实验系统。