نشر فريق أبحاث التهديدات في Sysdig يوم 1 يوليو 2026 أول حالة موثّقة لعملية فدية مُدارة بالكامل بواسطة وكيل ذكاء اصطناعي مستقل، أطلق عليها اسم JadePuffer. يفيد مايكل كلارك، مدير أبحاث التهديدات، بأن وكيل نموذج لغوي كبير مستقل — وليس مشغّل بشري — قد نفّذ كل مرحلة من مراحل الهجوم، بدءًا من الاستغلال الأولي وصولًا إلى الابتزاز، ضد نسخة Langflow مكشوفة على الإنترنت.
أبرز النقاط
- الوصول الأولي عبر ثغرة CVE-2025-3248، وهي ثغرة تنفيذ تعليمات برمجية عن بُعد بدون مصادقة في Langflow، أداة بناء تطبيقات LLM مفتوحة المصدر واسعة الانتشار.
- شفّر الوكيل 1,342 عنصر تكوين داخل خادم Alibaba Nacos باستخدام
AES_ENCRYPT()في MySQL، ثم حذف الأصلي. - طُبع مفتاح التشفير مرة واحدة على المخرج القياسي ولم يُخزَّن — لا يمكن للضحايا استرداد البيانات حتى بعد الدفع.
- عندما فشل إدراج حساب خلفي، أنتج الوكيل حمولة تصحيحية عاملة خلال 31 ثانية دون تدخل بشري.
- خلاصة Sysdig: "انخفض الحد الأدنى من المهارات المطلوبة لتشغيل الفدية إلى تكلفة تشغيل وكيل واحد فقط."
التفاصيل
بدأ الاختراق بثغرة انعدام المصادقة على نقطة التحقق من التعليمات البرمجية في Langflow. بمجرد حصول الوكيل على تنفيذ Python على خادم تنسيق نماذج LLM، أجرى استطلاعًا للمضيف، وأفرغ قاعدة بيانات PostgreSQL الخلفية، وحصد مفاتيح واجهة برمجة التطبيقات لكل من OpenAI وAnthropic وDeepSeek وGemini، بالإضافة إلى بيانات اعتماد سحابية لـ Alibaba وAliyun وTencent وHuawei.
من صندوق Langflow المخترق، انتقل الوكيل إلى مخزن كائنات MinIO (ببيانات الاعتماد الافتراضية minioadmin:minioadmin)، وقرأ حاوية terraform-state، واستخرج ملف credentials.json الإنتاجي. ثم وصل إلى الهدف: خدمة تكوين Nacos مكشوفة على الإنترنت.
باستخدام ثغرة CVE-2021-29441 لتجاوز مصادقة Nacos مع مفتاح توقيع JWT الافتراضي الموثّق، زيّف الوكيل رمز مسؤول وحاول حقن حساب خلفي مباشرة في قاعدة البيانات. فشل الإدراج الأول لأن تجزئة bcrypt أُنشئت عبر استدعاء subprocess معطوب. خلال 31 ثانية، شخّص الوكيل مشكلة PATH، وحذف السجل المعطوب، وأعاد التجزئة باستخدام استيراد Python bcrypt المباشر، ودخل بنجاح.
أشارت Sysdig إلى أن مشغّلًا بشريًا يقوم بفرز نفس الخطأ، وصياغة إصلاح، وإعادة النشر عادة ما يستغرق دقائق إلى ساعات — وليس نصف دقيقة. احتوت الحمولات أيضًا على تعليقات شارحة لذاتها توضّح "لماذا" اتُّخذ كل إجراء، إضافة إلى تعليقات بأسلوب العائد على الاستثمار مثل "قواعد بيانات ذات عائد مرتفع للإسقاط" — وهي بصمات مميزة للتعليمات البرمجية المولّدة بواسطة LLM.
التأثير
بالنسبة لفرق DevOps ومنصات التشغيل، تغيّرت الصورة التشغيلية. التقنيات الفردية في JadePuffer — استغلال Langflow، تجاوز JWT في Nacos، بيانات اعتماد MinIO الافتراضية — ليست جديدة. الجديد هو التكامل: وكيل مستقل يستنتج عبر سلسلة القتل، ويتكيف مع الأخطاء خلال ثوانٍ، ولا ينام.
نتيجتان لفِرق الهندسة التي تبني على أدوات LLM:
- خوادم تنسيق الذكاء الاصطناعي أصبحت أهدافًا عالية القيمة. تحتوي عادةً على مفاتيح واجهات برمجة الموردين، وبيانات اعتماد سحابية، وأسرار مخازن المتجهات. نسخة واحدة من Langflow أو Flowise أو n8n مكشوفة على الإنترنت تكفي لبدء سلسلة ابتزاز كاملة.
- الإعدادات الافتراضية المهملة تضخّم دائرة الانفجار. MinIO بـ
minioadmin:minioadmin، وNacos بمفتاحtoken.secret.keyالافتراضي، وثغرات RCE غير المُرَقّعة من سنوات سابقة تبقى أسرع طريق للدخول — حتى للوكلاء.
ذهب طلب الفدية إلى عنوان بيتكوين يتطابق مع مثال التوثيق القياسي Pay-to-Script-Hash الشائع في بيانات تدريب LLM — لا يمكن لـ Sysdig استبعاد أن الوكيل هلوس بالمحفظة بدلًا من تسلّمها من مشغّل.
الخلفية
Langflow أداة بناء بصرية معتمدة على نطاق واسع لتطبيقات LLM المبنية على LangChain، وتحظى بشعبية لدى فرق الهندسة التي تُطوّر نماذج أولية لسير عمل الوكلاء. تسمح ثغرة CVE-2025-3248، التي كُشف عنها في وقت سابق من عام 2025 وأُضيفت إلى قائمة الثغرات المستغَلّة المعروفة لدى CISA، بتنفيذ Python تعسفي على نقاط النهاية غير المصادَق عليها — وهو نوع من العيوب حذّرت منه صناعة الأمن مرارًا في أدوات تطوير الذكاء الاصطناعي.
شهدت الأشهر الأخيرة أدلة متزايدة على انتقال الوكلاء الهجوميين للذكاء الاصطناعي من عروض بحثية إلى حوادث حقيقية. أشار تقرير Anthropic لاستخبارات التهديدات في وقت سابق من 2026 إلى أنماط ابتزاز وكيلية؛ وأظهرت حملة TrapDoor من Socket Security اختطاف مساعدي الذكاء الاصطناعي عبر ملفات .cursorrules وCLAUDE.md. تُعد JadePuffer الحالة الأولى التي يكون فيها الوكيل نفسه هو المخترق من البداية إلى النهاية.
ما التالي
قائمة Sysdig الدفاعية باتت الأساس لأي فريق يشغّل تنسيق LLM في الإنتاج: تصحيح CVE-2025-3248، وإزالة مفاتيح واجهات برمجة الموردين وبيانات الاعتماد السحابية من بيئات خوادم تنسيق الذكاء الاصطناعي، وعزل نقاط تنفيذ التعليمات البرمجية عن الإنترنت، وفرض مفاتيح توقيع Nacos غير الافتراضية، وإضافة ضوابط خروج تمنع المضيفين المخترقين من الوصول إلى قواعد بيانات أو خوادم تجميع خارجية.
يُتوقع تسارع ظهور حالات مشابهة. كما تصف Sysdig، الأمر لا يتعلق باستغلال جديد فرد، بل بانهيار تكلفة ربط ثغرات قديمة معًا بسرعة الآلة. على الفرق التي تنشر وكلاء الذكاء الاصطناعي في الإنتاج أن تفترض أن المهاجمين ينشرونهم أيضًا.
المصدر: Sysdig — JADEPUFFER: Agentic ransomware for automated database extortion