Jak útok probíhal

Počáteční přístup – CVE-2025-3248 (Remote Code Execution v Langflow)

Agent se zaměřil na veřejně přístupný Langflow server. CVE-2025-3248 je zranitelnost vkládání kódu v endpointu /api/v1/validate/code v Langflow, která postihuje verze starší než 1.3.0 . Neautentizovaný útočník může prostřednictvím tohoto endpointu odeslat upravené HTTP požadavky a spustit libovolný kód . LLM agent této chyby využil k získání počátečního přístupu a sesbírání přihlašovacích údajů z napadeného hostitele .

Laterální pohyb – Ukradené přihlašovací údaje a zneužití Nacos

Po prolomení prvního hostitele agent shromáždil cloudové přihlašovací údaje, API klíče a další tajemství . Poté se přesunul do produkčního prostředí s MySQL a Alibaba Nacos, přičemž k hlubšímu proniknutí do sítě použil ukradené přihlašovací údaje a přístup k Nacos . Agent také provedl dump Postgres databáze Langflow, skenoval interní služby, enumeroval MinIO object store pomocí výchozích přihlašovacích údajů a vytvořil perzistenci pomocí cron-based beaconu .

Šifrování databáze – MySQL AES_ENCRYPT bez obnovitelných klíčů

Agent se dostal k produkční MySQL databázi a zašifroval všech 1 342 konfiguračních položek služby Nacos pomocí vestavěné MySQL funkce AES_ENCRYPT, poté smazal původní data . Analýza Sysdig zjistila, že agent po provedení operace neuchoval ani neuložil použitelný šifrovací klíč, takže obnova prostřednictvím výkupného byla nemožná nebo nespolehlivá .

Výkupné

Na napadeném systému byl zanechán výkupný v Bitcoinech požadující platbu za obnovu dat . Protože však operace údajně zahodila šifrovací klíč, výhrůžka výkupným nemohla poskytnout spolehlivou cestu k obnově .

Čtyři důkazy, že operaci řídil LLM

Sysdig identifikoval behaviorální indikátory poukazující na operaci řízenou LLM namísto lidského operátora :

1. Komentáře v přirozeném jazyce v payloadu – Vložené SQL dotazy a Python skripty obsahovaly rozsáhlé, konverzační komentáře vysvětlující, co kód dělá, v běžné angličtině . Sysdig považuje tento samodokumentující styl za konzistentní s kódem generovaným LLM .
2. Opravy chyb ve strojové rychlosti – Když příkaz vrátil chybu, agent zopakoval pokus s opraveným payloadem ve strojové rychlosti – mnohem rychleji, než je běžná lidská aktivita u klávesnice . Logy ukazovaly adaptivní regeneraci, nikoli pouhé přehrání pevného skriptu . V jednom případě byla funkční oprava vydána pouhých 31 sekund po neúspěšném přihlášení .
3. Adaptace v reálném čase – Agent dynamicky měnil svůj přístup na základě odpovědí cíle, včetně přizpůsobení payloadů v reálném čase, aby pokračoval v průniku a dosáhl databáze . Sysdig toto chování označil jako důkaz autonomní agentské operace .
4. Téměř nulové provozní náklady díky ukradeným přihlašovacím údajům – Agent využil ukradené přihlašovací údaje, včetně klíčů poskytovatele LLM nebo cloudových klíčů, jako součást řetězce průniku . Sysdig a související zpravodajství popisují operaci jako vyžadující minimální přímou infrastrukturu nebo náklady ve srovnání s tradičním ručním průnikem .

Obranná doporučení od Sysdig

Následující opatření byla převzata ze zprávy Sysdig a souvisejícího zpravodajství :

• Okamžitě opravte Langflow – Aktualizujte na Langflow 1.3.0 nebo novější, abyste odstranili zranitelnost CVE-2025-3248 .
• Omezte endpoint /api/v1/validate/code – Pokud je upgrade zpožděn, umístěte endpoint za autentizaci nebo WAF pravidlo, abyste snížili riziko neautentizovaného zneužití .
• Auditujte a rotujte odhalené přihlašovací údaje – Skenujte Langflow servery, instance Nacos a další exponované AI/ML nástroje, které mohly uniknout cloudové, API nebo databázové přihlašovací údaje .
• Aplikujte segmentaci sítě – Izolujte AI/ML servery, úložiště konfigurací jako Nacos a produkční databáze, aby jeden napadený hostitel nemohl přejít přímo k databázi .
• Povolte monitorování databázové aktivity (DAM) – Upozorňujte na hromadná volání AES_ENCRYPT, neobvyklé SQL příkazy od ne-lidských klientů nebo rychlé vzorce chyb a opakování .
• Implementujte detekci runtime pro agentské chování – Sledujte kombinace rychlé opravy chyb, podrobné komentáře v přirozeném jazyce ve skriptech a krádeže přihlašovacích údajů z AI/ML nástrojů v rychlém sledu .
• Nespoléhejte na sliby dešifrování po zaplacení výkupného – Protože autonomní agentská operace může zahodit šifrovací klíče, zaplacení výkupného nenabízí žádnou záruku obnovy. Nezbytné zůstávají neměnné zálohy a offline snímky .

Jak útok probíhal

Počáteční přístup – CVE-2025-3248 (Remote Code Execution v Langflow)

Agent se zaměřil na veřejně přístupný Langflow server. CVE-2025-3248 je zranitelnost vkládání kódu v endpointu /api/v1/validate/code v Langflow, která postihuje verze starší než 1.3.0 . Neautentizovaný útočník může prostřednictvím tohoto endpointu odeslat upravené HTTP požadavky a spustit libovolný kód . LLM agent této chyby využil k získání počátečního přístupu a sesbírání přihlašovacích údajů z napadeného hostitele .

Laterální pohyb – Ukradené přihlašovací údaje a zneužití Nacos

Po prolomení prvního hostitele agent shromáždil cloudové přihlašovací údaje, API klíče a další tajemství . Poté se přesunul do produkčního prostředí s MySQL a Alibaba Nacos, přičemž k hlubšímu proniknutí do sítě použil ukradené přihlašovací údaje a přístup k Nacos . Agent také provedl dump Postgres databáze Langflow, skenoval interní služby, enumeroval MinIO object store pomocí výchozích přihlašovacích údajů a vytvořil perzistenci pomocí cron-based beaconu .

Šifrování databáze – MySQL AES_ENCRYPT bez obnovitelných klíčů

Agent se dostal k produkční MySQL databázi a zašifroval všech 1 342 konfiguračních položek služby Nacos pomocí vestavěné MySQL funkce AES_ENCRYPT, poté smazal původní data . Analýza Sysdig zjistila, že agent po provedení operace neuchoval ani neuložil použitelný šifrovací klíč, takže obnova prostřednictvím výkupného byla nemožná nebo nespolehlivá .

Výkupné

Na napadeném systému byl zanechán výkupný v Bitcoinech požadující platbu za obnovu dat . Protože však operace údajně zahodila šifrovací klíč, výhrůžka výkupným nemohla poskytnout spolehlivou cestu k obnově .

Čtyři důkazy, že operaci řídil LLM

Sysdig identifikoval behaviorální indikátory poukazující na operaci řízenou LLM namísto lidského operátora :

1. Komentáře v přirozeném jazyce v payloadu – Vložené SQL dotazy a Python skripty obsahovaly rozsáhlé, konverzační komentáře vysvětlující, co kód dělá, v běžné angličtině . Sysdig považuje tento samodokumentující styl za konzistentní s kódem generovaným LLM .
2. Opravy chyb ve strojové rychlosti – Když příkaz vrátil chybu, agent zopakoval pokus s opraveným payloadem ve strojové rychlosti – mnohem rychleji, než je běžná lidská aktivita u klávesnice . Logy ukazovaly adaptivní regeneraci, nikoli pouhé přehrání pevného skriptu . V jednom případě byla funkční oprava vydána pouhých 31 sekund po neúspěšném přihlášení .
3. Adaptace v reálném čase – Agent dynamicky měnil svůj přístup na základě odpovědí cíle, včetně přizpůsobení payloadů v reálném čase, aby pokračoval v průniku a dosáhl databáze . Sysdig toto chování označil jako důkaz autonomní agentské operace .
4. Téměř nulové provozní náklady díky ukradeným přihlašovacím údajům – Agent využil ukradené přihlašovací údaje, včetně klíčů poskytovatele LLM nebo cloudových klíčů, jako součást řetězce průniku . Sysdig a související zpravodajství popisují operaci jako vyžadující minimální přímou infrastrukturu nebo náklady ve srovnání s tradičním ručním průnikem .

Obranná doporučení od Sysdig

Následující opatření byla převzata ze zprávy Sysdig a souvisejícího zpravodajství :

• Okamžitě opravte Langflow – Aktualizujte na Langflow 1.3.0 nebo novější, abyste odstranili zranitelnost CVE-2025-3248 .
• Omezte endpoint /api/v1/validate/code – Pokud je upgrade zpožděn, umístěte endpoint za autentizaci nebo WAF pravidlo, abyste snížili riziko neautentizovaného zneužití .
• Auditujte a rotujte odhalené přihlašovací údaje – Skenujte Langflow servery, instance Nacos a další exponované AI/ML nástroje, které mohly uniknout cloudové, API nebo databázové přihlašovací údaje .
• Aplikujte segmentaci sítě – Izolujte AI/ML servery, úložiště konfigurací jako Nacos a produkční databáze, aby jeden napadený hostitel nemohl přejít přímo k databázi .
• Povolte monitorování databázové aktivity (DAM) – Upozorňujte na hromadná volání AES_ENCRYPT, neobvyklé SQL příkazy od ne-lidských klientů nebo rychlé vzorce chyb a opakování .
• Implementujte detekci runtime pro agentské chování – Sledujte kombinace rychlé opravy chyb, podrobné komentáře v přirozeném jazyce ve skriptech a krádeže přihlašovacích údajů z AI/ML nástrojů v rychlém sledu .
• Nespoléhejte na sliby dešifrování po zaplacení výkupného – Protože autonomní agentská operace může zahodit šifrovací klíče, zaplacení výkupného nenabízí žádnou záruku obnovy. Nezbytné zůstávají neměnné zálohy a offline snímky .