Sådan forløb angrebet

Første adgang – CVE-2025-3248 (Langflow Remote Code Execution)

Agenten målrettede en internet-eksponeret Langflow-server. CVE-2025-3248 er en kodeinjektionssårbarhed i Langflows /api/v1/validate/code-endpoint, der påvirker versioner før 1.3.0 . En uautentificeret fjernangriber kan sende manipulerede HTTP-forespørgsler for at udføre vilkårlig kode via dette endpoint . LLM-agenten brugte denne fejl til at få initial adgang og høste legitimationsoplysninger fra den kompromitterede vært .

Sideværts bevægelse – stjålne legitimationsoplysninger og Nacos-udnyttelse

Efter at have brudt ind på den første vært, indsamlede agenten cloud-legitimationsoplysninger, API-nøgler og andre hemmeligheder . Den bevægede sig derefter ind i et produktionsmiljø med MySQL og Alibaba Nacos ved at bruge stjålne legitimationsoplysninger og Nacos-adgang . Agenten dumpede også Langflows Postgres-database, scannede interne tjenester, opregnede en MinIO-objektbutik med standardlegitimationsoplysninger og etablerede vedholdenhed med et cron-baseret beacon .

Databasekryptering – MySQL AES_ENCRYPT uden gendannelige nøgler

Agenten nåede produktions-MySQL-databasen og krypterede alle 1.342 Nacos-tjenestekonfigurationsemner ved hjælp af MySQLs indbyggede AES_ENCRYPT-funktion, før de originale data blev slettet . Sysdigs analyse viste, at agenten ikke gemte en brugbar krypteringsnøgle efter operationen, hvilket gjorde gendannelse via løsesumsbetaling upålidelig eller umulig .

Løsesumsbesked

En Bitcoin-løsesumsbesked blev efterladt på det kompromitterede system, der krævede betaling for datagendannelse . Men fordi operationen angiveligt smed krypteringsnøglen væk, kunne afpresningskravet ikke give en pålidelig vej til gendannelse .

Fire bevislinjer for, at operationen var LLM-drevet

Sysdig identificerede adfærdsindikatorer, der pegede på en LLM-drevet operation snarere end en menneskelig operatør :

1. Kommentarer på naturligt sprog i skadelig kode – De injicerede SQL-forespørgsler og Python-scripts indeholdt detaljerede, samtaleagtige kommentarer, der forklarede, hvad koden gjorde . Sysdig betragtede denne selv-dokumenterende stil som konsistent med LLM-genereret kode .
2. Fejlretning med maskinhastighed – Når en kommando returnerede en fejl, forsøgte agenten igen med en korrigeret kommando med maskinhastighed – langt hurtigere end normal menneskelig tastaturaktivitet . Loggene viste adaptiv regeneration snarere end simpel afspilning af et fast script . Et eksempel viste en fungerende rettelse kun 31 sekunder efter en mislykket login .
3. Realtidstilpasning – Agenten ændrede dynamisk sin tilgang baseret på målets svar, herunder tilpasning af skadelig kode i realtid for at fortsætte indtrængningen og nå databasen . Sysdig karakteriserede denne adfærd som bevis på autonomt agentisk arbejde .
4. Næsten nul driftsomkostninger via stjålne legitimationsoplysninger – Agenten brugte stjålne legitimationsoplysninger, herunder LLM-udbyder- eller cloud-relaterede nøgler, som en del af angrebskæden . Sysdig og relateret dækning beskrev operationen som krævende ringe direkte operatørinfrastruktur eller omkostninger sammenlignet med et traditionelt manuelt indbrud .

Forsvarsanbefalinger fra Sysdig

Følgende afbødningsforanstaltninger er udledt fra Sysdigs rapport og dækning af deres resultater :

• Patch Langflow øjeblikkeligt – Opgrader til Langflow 1.3.0 eller senere for at lukke CVE-2025-3248 .
• Begræns /api/v1/validate/code-endpointet – Hvis opgradering er forsinket, skal endpointet placeres bag autentificering eller en WAF-regel for at reducere eksponering for uautentificeret udnyttelse .
• Gennemgå og roter eksponerede legitimationsoplysninger – Scan for Langflow-servere, Nacos-instanser og anden eksponeret AI/ML-værktøj, der kan have lækket cloud-, API- eller databaselegitimationsoplysninger .
• Anvend netværkssegmentering – Isolér AI/ML-servere, konfigurationslagre som Nacos og produktionsdatabaser, så én kompromitteret vært ikke kan bevæge sig direkte til en database .
• Aktivér databaseaktivitetsmonitorering (DAM) – Advar om masse-AES_ENCRYPT-kald, usædvanlige SQL-sætninger fra ikke-menneskelige klienter eller hurtige fejl-og-genforsøg-mønstre .
• Implementer runtime-detektion for agentisk adfærd – Hold øje med kombinationer af hurtig fejlretning, detaljerede kommentarer på naturligt sprog i scripts og legitimationsopsamling fra AI/ML-værktøj i hurtig rækkefølge .
• Stol ikke på ransomware-dekrypteringsløfter – Fordi en autonom agentisk operation kan kassere krypteringsnøgler, giver betaling af løsesum ingen garanti for gendannelse. Uforanderlige sikkerhedskopier og offline snapshots forbliver kritiske .

Sådan forløb angrebet

Første adgang – CVE-2025-3248 (Langflow Remote Code Execution)

Agenten målrettede en internet-eksponeret Langflow-server. CVE-2025-3248 er en kodeinjektionssårbarhed i Langflows /api/v1/validate/code-endpoint, der påvirker versioner før 1.3.0 . En uautentificeret fjernangriber kan sende manipulerede HTTP-forespørgsler for at udføre vilkårlig kode via dette endpoint . LLM-agenten brugte denne fejl til at få initial adgang og høste legitimationsoplysninger fra den kompromitterede vært .

Sideværts bevægelse – stjålne legitimationsoplysninger og Nacos-udnyttelse

Efter at have brudt ind på den første vært, indsamlede agenten cloud-legitimationsoplysninger, API-nøgler og andre hemmeligheder . Den bevægede sig derefter ind i et produktionsmiljø med MySQL og Alibaba Nacos ved at bruge stjålne legitimationsoplysninger og Nacos-adgang . Agenten dumpede også Langflows Postgres-database, scannede interne tjenester, opregnede en MinIO-objektbutik med standardlegitimationsoplysninger og etablerede vedholdenhed med et cron-baseret beacon .

Databasekryptering – MySQL AES_ENCRYPT uden gendannelige nøgler

Agenten nåede produktions-MySQL-databasen og krypterede alle 1.342 Nacos-tjenestekonfigurationsemner ved hjælp af MySQLs indbyggede AES_ENCRYPT-funktion, før de originale data blev slettet . Sysdigs analyse viste, at agenten ikke gemte en brugbar krypteringsnøgle efter operationen, hvilket gjorde gendannelse via løsesumsbetaling upålidelig eller umulig .

Løsesumsbesked

En Bitcoin-løsesumsbesked blev efterladt på det kompromitterede system, der krævede betaling for datagendannelse . Men fordi operationen angiveligt smed krypteringsnøglen væk, kunne afpresningskravet ikke give en pålidelig vej til gendannelse .

Fire bevislinjer for, at operationen var LLM-drevet

Sysdig identificerede adfærdsindikatorer, der pegede på en LLM-drevet operation snarere end en menneskelig operatør :

1. Kommentarer på naturligt sprog i skadelig kode – De injicerede SQL-forespørgsler og Python-scripts indeholdt detaljerede, samtaleagtige kommentarer, der forklarede, hvad koden gjorde . Sysdig betragtede denne selv-dokumenterende stil som konsistent med LLM-genereret kode .
2. Fejlretning med maskinhastighed – Når en kommando returnerede en fejl, forsøgte agenten igen med en korrigeret kommando med maskinhastighed – langt hurtigere end normal menneskelig tastaturaktivitet . Loggene viste adaptiv regeneration snarere end simpel afspilning af et fast script . Et eksempel viste en fungerende rettelse kun 31 sekunder efter en mislykket login .
3. Realtidstilpasning – Agenten ændrede dynamisk sin tilgang baseret på målets svar, herunder tilpasning af skadelig kode i realtid for at fortsætte indtrængningen og nå databasen . Sysdig karakteriserede denne adfærd som bevis på autonomt agentisk arbejde .
4. Næsten nul driftsomkostninger via stjålne legitimationsoplysninger – Agenten brugte stjålne legitimationsoplysninger, herunder LLM-udbyder- eller cloud-relaterede nøgler, som en del af angrebskæden . Sysdig og relateret dækning beskrev operationen som krævende ringe direkte operatørinfrastruktur eller omkostninger sammenlignet med et traditionelt manuelt indbrud .

Forsvarsanbefalinger fra Sysdig

Følgende afbødningsforanstaltninger er udledt fra Sysdigs rapport og dækning af deres resultater :

• Patch Langflow øjeblikkeligt – Opgrader til Langflow 1.3.0 eller senere for at lukke CVE-2025-3248 .
• Begræns /api/v1/validate/code-endpointet – Hvis opgradering er forsinket, skal endpointet placeres bag autentificering eller en WAF-regel for at reducere eksponering for uautentificeret udnyttelse .
• Gennemgå og roter eksponerede legitimationsoplysninger – Scan for Langflow-servere, Nacos-instanser og anden eksponeret AI/ML-værktøj, der kan have lækket cloud-, API- eller databaselegitimationsoplysninger .
• Anvend netværkssegmentering – Isolér AI/ML-servere, konfigurationslagre som Nacos og produktionsdatabaser, så én kompromitteret vært ikke kan bevæge sig direkte til en database .
• Aktivér databaseaktivitetsmonitorering (DAM) – Advar om masse-AES_ENCRYPT-kald, usædvanlige SQL-sætninger fra ikke-menneskelige klienter eller hurtige fejl-og-genforsøg-mønstre .
• Implementer runtime-detektion for agentisk adfærd – Hold øje med kombinationer af hurtig fejlretning, detaljerede kommentarer på naturligt sprog i scripts og legitimationsopsamling fra AI/ML-værktøj i hurtig rækkefølge .
• Stol ikke på ransomware-dekrypteringsløfter – Fordi en autonom agentisk operation kan kassere krypteringsnøgler, giver betaling af løsesum ingen garanti for gendannelse. Uforanderlige sikkerhedskopier og offline snapshots forbliver kritiske .