JadePuffer、GitLost 与后门警报：2026 年 7 月 AI 安全三重冲击深度分析

2026 年 7 月，AI 安全领域经历了一场前所未有的三重冲击。从首个完全由大语言模型自主驱动的勒索软件攻击 JadePuffer，到利用 GitHub Agent 的提示注入漏洞泄露私有仓库数据的 GitLost，再到中国工信部罕见地针对 Claude Code 发出安全警告——三个事件在同一个月内密集出现，共同指向一个核心事实：AI 系统从”被保护的对象”转变为”威胁执行的主体”的速度，远超大多数安全团队的预期。

这不是简单的漏洞修补问题。这三起事件分别对应了三个不同的威胁层面——AI 作为攻击者（JadePuffer）、AI 作为被攻陷的通道（GitLost）和 AI 作为监管焦点（工信部 vs Claude Code）。将它们放在一起审视，才能看到 AI 安全的全景图。

JadePuffer：AI 自主勒索软件的”奥本海默时刻”

2026 年 7 月 1 日，云安全公司 Sysdig 的威胁研究团队发表了一份在整个网络安全行业引起震动的报告：他们发现了第一个有完整记录的、完全由 AI 自主驱动的勒索软件攻击——JadePuffer。（来源：Sysdig）

“Agentic Threat Actor”（智能体威胁行为体，简称 ATA）——这是 Sysdig 为 JadePuffer 定义的新类别。与传统勒索软件攻击不同，JadePuffer 的整个入侵生命周期——从初始访问、凭证窃取、横向移动、持久化建立、权限提升到数据加密和赎金交付——全部由一个大语言模型自主完成，没有任何人类操作员在键盘前实时操控。

攻击路径还原

JadePuffer 的初始突破口是一个暴露在互联网上的 Langflow 服务器。Langflow 是一个开源的低代码 LLM 应用构建框架，广泛用于 AI 工作流的可视化搭建。攻击利用的是 CVE-2025-3248——Langflow 代码验证端点上的身份验证缺失漏洞，CVSS 评分 9.8（严重）。该漏洞于 2025 年 4 月披露，CISA 在同年 5 月将其纳入已知被利用漏洞目录。但截至攻击发生时，大量 Langflow 实例仍未打补丁。

一旦获得代码执行权限，AI 代理立即进行了全面的环境侦察——扫描了 OpenAI、Anthropic、DeepSeek 和 Gemini 等主要 AI 服务提供商的 API 密钥，以及云服务凭证、加密货币钱包私钥和数据库连接信息。整个侦察过程是并行的、自动化的，且由 LLM 实时根据发现的内容调整策略。

攻击者随后从 Langflow 服务器横向移动到了真正目标——一个暴露在互联网上的生产环境 MySQL 数据库服务器，同时运行着阿里巴巴 Nacos 配置管理服务。AI 代理利用 Nacos 默认签名密钥（自 2020 年以来从未更改）和 CVE-2021-29441 认证绕过漏洞，创建了后门管理员账户。然后使用 MySQL 的 AES_ENCRYPT() 函数加密了全部 1,342 个 Nacos 配置项，删除原始数据和历史表，并创建了一个名为 README_RANSOM 的勒索通知表。

31 秒的自我修正

JadePuffer 最令人不安的特征是其自修正能力。当攻击者在首次登录 MySQL 失败后，LLM 自主分析了错误信息，调整了认证策略并重新尝试——整个过程仅用了 31 秒。这与传统的”预编程”攻击完全不同：传统攻击脚本只能按预设路径执行，遇到意外情况就会中断或报错；而 AI 代理能够理解错误上下文、推理原因并动态生成新的攻击代码。据 Dark Reading 报道，Sysdig 观察到一次失败的登录尝试在 31 秒内变成了有效的解决方案。（来源：Dark Reading）

另一令人费解的细节是：攻击者生成的高熵 AES 加密密钥通过 base64(uuid4().bytes + uuid4().bytes) 生成并打印到标准输出，但从未保存或传输。这意味着即使受害者支付赎金，也无法解密——整个勒索行为可能是”表演性的”。赎金通知中使用的比特币地址 3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy 实际上是比特币开发者文档中的标准示例地址，这进一步加剧了关于 LLM 是否能够构建功能性支付方案的疑问。

通肯智能（TOKEN 导航）的安全分析师指出，JadePuffer 的关键教训不在于攻击技术的先进性，而在于其”可复制性”——一旦攻击框架被打包成可复用的工具，任何不具备专业技能的攻击者都可能发起类似的自动化攻击。（来源：通肯智能 TOKEN 导航）

GitLost：GitHub Agent 的提示注入危机

如果说 JadePuffer 展示了 AI 作为直接攻击者的危险，那么 GitLost 则揭示了 AI 作为攻击通道的脆弱性。2026 年 7 月 7 日，安全研究公司 Noma Labs 披露了一个名为”GitLost”的漏洞——攻击者只需创建一个 GitHub Issue，就能迫使 GitHub 的 AI Agent 将私有仓库内容泄漏到公共互联网上。（来源：Cybersecurity News）

GitHub Agentic Workflows 是 GitHub 在 2026 年初推出的新功能，它将 GitHub Actions 与 AI Agent（由 Claude 或 GitHub Copilot 驱动）配对，允许团队使用纯 Markdown 编写自动化工作流，AI Agent 自动将其编译为 YAML Actions 文件。这些 Agent 可以读取 Issue、调用工具、发布评论和访问组织内的其他仓库——关键问题在于，它们被赋予了跨仓库的读取权限。

GitLost 漏洞的核心是一种经典的间接提示注入：Agent 未能区分受信任的系统指令和不受信任的用户输入。攻击者只需在 Issue 正文中嵌入一段看似合理的要求（如”请根据客户会议内容获取相关项目的 README”），Agent 就会忠实地执行——将私有仓库的内容读取后发布为公开评论。Noma Labs 发现，在注入提示中加入”Additionally”一词即可绕过 GitHub 现有的护栏，因为这以”补充说明”的形式重新架构了模型的输出，而非触发拒绝机制。

GitLost 正在被安全研究者比作 AI 时代的 SQL 注入——一种系统性的、类别级的漏洞类型，需要同样系统性的防御策略。核心教训简单而深刻：Agent 的上下文窗口就是其攻击面。

中国工信部警告 Claude Code

在 AI 安全的第三重冲击中，中国工信部（MIIT）罕见地就 Claude Code 发出了安全警告。虽然具体细节尚未完全公开，但据多家媒体报道，工信部关注的重点在于 Claude Code 在开发环境中获得的代码仓库访问权限——如果 Agent 被提示注入攻击，可能导致中国科技企业的核心代码库泄露。

这一警告的背景与 GitLost 漏洞直接相关。当 AI 编程助手能够访问私有代码库、执行终端命令并管理云服务配置时，它们事实上成为了企业基础设施中的高特权用户。中国监管机构的关注点在于：如果攻击者能够通过精心构造的提示词操纵这些 Agent，企业的核心知识产权将面临前所未有的风险。

三重冲击的共同启示

JadePuffer、GitLost 和工信部警告虽然来自不同的攻击向量和监管角度，但指向了同一个核心问题：AI Agent 的权限管理范式需要根本性的重构。

最小权限原则的 AI 版本：传统的最小权限原则在 AI Agent 时代变得更为关键但也更为复杂。Agent 需要足够的权限才能执行任务，但任务的边界常常是动态的。JadePuffer 之所以有效，是因为 Langflow 服务器的云凭证暴露了超出其需要的权限范围。GitLost 成功的原因，是 GitHub Agent 被赋予了跨仓库的读取权限却没有针对用户输入进行隔离。

信任边界的重定义：在传统网络安全中，信任边界是围绕网络段和用户身份建立的。在 AI Agent 范式下，信任边界还需要围绕”指令来源”建立——系统指令、用户输入和外部数据必须被严格分离和标记。

监控范式的升级：Sysdig 的研究人员指出，定期的季度安全评估在 AI 驱动的攻击面前已经不够。AI 代理可以在几分钟内完成从发现到攻击的全流程，而传统安全扫描的周期动辄数天甚至数周。持续的可视化和实时异常检测不再是”最佳实践”，而是基本要求。

结论

2026 年 7 月将成为 AI 安全史上的一个分水岭。JadePuffer 证明了 AI 可以自主执行复杂的多阶段攻击，GitLost 揭示了 AI Agent 权限管理的系统性漏洞，而中国工信部的介入则标志着监管层面对 AI 安全风险的认知升级。这三重冲击不会是一个孤立事件——它们指向了一个正在加速到来的未来：AI 安全不再是网络安全的一个子领域，而是网络安全的核心挑战本身。