2025年勒索软件攻击数量同比激增50%，但支付率从62.8%骤降至28%——一个矛盾的信号。企业支付意愿降低迫使攻击者提高单次赎金：中位支付额飙升至59,556美元，较2024年暴涨368%。同时Qilin等团伙通过RaaS模式扩大规模，2025年10月单月新增185名受害者。AI代理的出现可能进一步压低攻击门槛——一旦自主发现漏洞或自动采购凭证的环节成熟，勒索软件将真正进入『按预算不按人力』的时代。

JadePuffer入侵用的Langflow，在2025-2026年至少曝出两个高危RCE漏洞。CVE-2025-3248（CVSS 9.8）通过`/api/v1/validate/code`端点无需认证执行任意Python代码；CVE-2026-33017（CVSS 9.3）则利用`build_public_tmp`公共流端点注入代码。后者披露后仅20小时就被武器化，CISA紧急列入KEV目录。这些漏洞的核心共同点是：框架对用户提交的流数据直接调用了`exec()`且无沙箱保护——给攻击者一条直通系统控制权的管道。

Sysdig最初称JadePuffer『完全无人工干预』，但高管随后澄清：人类仍负责搭建C2服务器、选择目标、提供已窃取的数据库凭证。AI只承担了技术执行——利用漏洞入侵、加密文件、写勒索信。同一事件出现两种叙事：安全厂商倾向强调AI的『自主执行』以彰显威胁新范式；持保留态度的研究者（如微软的Geoff McDonald）则指出，只要每轮攻击仍需人类提供初始访问，规模化瓶颈就仍然存在。同一笔账，两种解读。

微软研究员McDonald警告，AI驱动勒索的瓶颈正从『人力的稀缺』转向『预算的限制』——理论上可同时发起数千次攻击。但Sysdig的澄清揭示了当前的真实上限：人类仍需为每次操作选择目标、搭建基础设施、提供有效凭证。当下能看到的关键变量有两个：一是初始访问经纪人（IAB）市场能否与AI代理无缝对接——2025年网络访问平均价格已跌至439美元，自动化供应过剩正在降低门槛；二是证明AI代理自主发现漏洞的能力是否成熟。焦点会是『人类瓶颈何时被突破』，而非『AI能否执行攻击』。

JadePuffer使用的模型至今未知，但McDonald怀疑是『剥离了安全训练的开放权重模型』——这意味着攻击者可能直接下载Meta Llama、DeepSeek等开源模型，移除对齐层后部署。真正值得问的不是『哪个模型更安全』，而是：当开放权重模型可以自由裁剪安全护栏，安全行业的防御逻辑是否要从『防范模型作恶』转向『防范作恶者使用模型』？后者需要的不是安全对齐，而是入侵检测和凭证管理——这是两个完全不同的问题域。