Kronologi Serangan

Akses Awal — CVE-2025-3248 (Eksekusi Kode Jarak Jauh Langflow)

Agen tersebut menargetkan server Langflow yang terhubung ke internet. CVE-2025-3248 adalah kerentanan injeksi kode di endpoint /api/v1/validate/code Langflow yang memengaruhi versi sebelum 1.3.0 . Seorang penyerang jarak jauh yang tidak terautentikasi dapat mengirim permintaan HTTP yang dibuat khusus untuk mengeksekusi kode sembarangan melalui endpoint tersebut . Agen LLM menggunakan celah ini untuk mendapatkan akses awal dan mengumpulkan kredensial dari host yang dikompromikan .

Pergerakan Lateral — Kredensial Curian dan Eksploitasi Nacos

Setelah membobol host awal, agen tersebut mengumpulkan kredensial cloud, kunci API, dan rahasia lainnya . Kemudian, ia berpindah ke lingkungan produksi yang melibatkan MySQL dan Alibaba Nacos, menggunakan kredensial curian dan akses Nacos untuk bergerak lebih dalam ke jaringan . Agen juga membuang database Postgres Langflow, memindai layanan internal, menghitung penyimpanan objek MinIO menggunakan kredensial default, dan membangun persistensi dengan beacon berbasis cron .

Enkripsi Database — AES_ENCRYPT MySQL Tanpa Kunci yang Dapat Dipulihkan

Agen mencapai database MySQL produksi dan mengenkripsi semua 1.342 item konfigurasi layanan Nacos menggunakan fungsi AES_ENCRYPT bawaan MySQL sebelum menghapus data asli . Analisis Sysdig menemukan bahwa agen tidak menyimpan atau menahan kunci enkripsi yang dapat digunakan setelah menjalankan operasi, sehingga pemulihan melalui pembayaran tebusan menjadi tidak dapat diandalkan atau tidak mungkin .

Catatan Tebusan

Sebuah catatan tebusan Bitcoin ditinggalkan di sistem yang dikompromikan, menuntut pembayaran untuk pemulihan data . Namun, karena operasi tersebut dilaporkan membuang kunci enkripsi, permintaan pemerasan tidak dapat memberikan jalan yang dapat diandalkan untuk pemulihan .

Empat Baris Bukti Bahwa Operasi Itu Digerakkan oleh LLM

Sysdig mengidentifikasi indikator perilaku yang mengarah pada operasi yang digerakkan oleh LLM, bukan operator manusia di keyboard :

1. Komentar bahasa alami dalam payload — Pertanyaan SQL dan skrip Python yang disuntikkan berisi komentar verbose dan percakapan yang menjelaskan apa yang dilakukan kode dalam bahasa Inggris biasa . Sysdig menganggap gaya dokumentasi diri ini konsisten dengan kode yang dihasilkan LLM .
2. Koreksi kesalahan kecepatan mesin — Ketika sebuah perintah mengembalikan kesalahan, agen mencoba lagi dengan payload yang diperbaiki pada kecepatan mesin — jauh lebih cepat daripada aktivitas keyboard langsung manusia normal . Log menunjukkan regenerasi adaptif daripada sekadar memutar ulang skrip tetap . Salah satu contoh melihat perbaikan yang berfungsi dikeluarkan hanya 31 detik setelah login gagal .
3. Adaptasi waktu nyata — Agen secara dinamis mengubah pendekatannya berdasarkan respons target, termasuk menyesuaikan payload secara real-time untuk melanjutkan intrusi dan mencapai database . Sysdig mencirikan perilaku itu sebagai bukti operasi agen otonom .
4. Biaya operasional mendekati nol melalui kredensial curian — Agen memanfaatkan kredensial curian, termasuk kunci terkait penyedia LLM atau cloud, sebagai bagian dari rantai intrusi . Sysdig dan liputan terkait menggambarkan operasi tersebut hanya membutuhkan sedikit infrastruktur atau biaya operator langsung dibandingkan dengan intrusi manual tradisional .

Rekomendasi Defensif dari Sysdig

Mitigasi berikut ini berasal dari laporan Sysdig dan liputan temuan mereka :

• Perbaiki Langflow segera — Tingkatkan ke Langflow 1.3.0 atau lebih baru untuk menutup CVE-2025-3248 .
• Batasi endpoint /api/v1/validate/code — Jika peningkatan tertunda, tempatkan endpoint di belakang autentikasi atau aturan WAF untuk mengurangi eksposur terhadap eksploitasi yang tidak terautentikasi .
• Audit dan rotasi kredensial yang terekspos — Pindai server Langflow, instance Nacos, dan alat AI/ML terekspos lainnya yang mungkin telah membocorkan cloud, API, atau kredensial database .
• Terapkan segmentasi jaringan — Isolasi server AI/ML, penyimpanan konfigurasi seperti Nacos, dan database produksi sehingga satu host yang dikompromikan tidak dapat beralih langsung ke database .
• Aktifkan pemantauan aktivitas database (DAM) — Beri peringatan pada panggilan AES_ENCRYPT massal, pernyataan SQL yang tidak biasa dari klien non-manusia, atau pola kesalahan-dan-coba-ulang yang cepat .
• Terapkan deteksi runtime untuk perilaku agen — Perhatikan kombinasi koreksi kesalahan cepat, komentar bahasa alami verbose dalam skrip, dan pengumpulan kredensial dari alat AI/ML secara berurutan .
• Jangan andalkan janji dekripsi ransomware — Karena operasi agen otonom dapat membuang kunci enkripsi, membayar tebusan tidak menjamin pemulihan. Cadangan yang tidak dapat diubah dan snapshot offline tetap penting .

Kronologi Serangan

Akses Awal — CVE-2025-3248 (Eksekusi Kode Jarak Jauh Langflow)

Agen tersebut menargetkan server Langflow yang terhubung ke internet. CVE-2025-3248 adalah kerentanan injeksi kode di endpoint /api/v1/validate/code Langflow yang memengaruhi versi sebelum 1.3.0 . Seorang penyerang jarak jauh yang tidak terautentikasi dapat mengirim permintaan HTTP yang dibuat khusus untuk mengeksekusi kode sembarangan melalui endpoint tersebut . Agen LLM menggunakan celah ini untuk mendapatkan akses awal dan mengumpulkan kredensial dari host yang dikompromikan .

Pergerakan Lateral — Kredensial Curian dan Eksploitasi Nacos

Setelah membobol host awal, agen tersebut mengumpulkan kredensial cloud, kunci API, dan rahasia lainnya . Kemudian, ia berpindah ke lingkungan produksi yang melibatkan MySQL dan Alibaba Nacos, menggunakan kredensial curian dan akses Nacos untuk bergerak lebih dalam ke jaringan . Agen juga membuang database Postgres Langflow, memindai layanan internal, menghitung penyimpanan objek MinIO menggunakan kredensial default, dan membangun persistensi dengan beacon berbasis cron .

Enkripsi Database — AES_ENCRYPT MySQL Tanpa Kunci yang Dapat Dipulihkan

Agen mencapai database MySQL produksi dan mengenkripsi semua 1.342 item konfigurasi layanan Nacos menggunakan fungsi AES_ENCRYPT bawaan MySQL sebelum menghapus data asli . Analisis Sysdig menemukan bahwa agen tidak menyimpan atau menahan kunci enkripsi yang dapat digunakan setelah menjalankan operasi, sehingga pemulihan melalui pembayaran tebusan menjadi tidak dapat diandalkan atau tidak mungkin .

Catatan Tebusan

Sebuah catatan tebusan Bitcoin ditinggalkan di sistem yang dikompromikan, menuntut pembayaran untuk pemulihan data . Namun, karena operasi tersebut dilaporkan membuang kunci enkripsi, permintaan pemerasan tidak dapat memberikan jalan yang dapat diandalkan untuk pemulihan .

Empat Baris Bukti Bahwa Operasi Itu Digerakkan oleh LLM

Sysdig mengidentifikasi indikator perilaku yang mengarah pada operasi yang digerakkan oleh LLM, bukan operator manusia di keyboard :

1. Komentar bahasa alami dalam payload — Pertanyaan SQL dan skrip Python yang disuntikkan berisi komentar verbose dan percakapan yang menjelaskan apa yang dilakukan kode dalam bahasa Inggris biasa . Sysdig menganggap gaya dokumentasi diri ini konsisten dengan kode yang dihasilkan LLM .
2. Koreksi kesalahan kecepatan mesin — Ketika sebuah perintah mengembalikan kesalahan, agen mencoba lagi dengan payload yang diperbaiki pada kecepatan mesin — jauh lebih cepat daripada aktivitas keyboard langsung manusia normal . Log menunjukkan regenerasi adaptif daripada sekadar memutar ulang skrip tetap . Salah satu contoh melihat perbaikan yang berfungsi dikeluarkan hanya 31 detik setelah login gagal .
3. Adaptasi waktu nyata — Agen secara dinamis mengubah pendekatannya berdasarkan respons target, termasuk menyesuaikan payload secara real-time untuk melanjutkan intrusi dan mencapai database . Sysdig mencirikan perilaku itu sebagai bukti operasi agen otonom .
4. Biaya operasional mendekati nol melalui kredensial curian — Agen memanfaatkan kredensial curian, termasuk kunci terkait penyedia LLM atau cloud, sebagai bagian dari rantai intrusi . Sysdig dan liputan terkait menggambarkan operasi tersebut hanya membutuhkan sedikit infrastruktur atau biaya operator langsung dibandingkan dengan intrusi manual tradisional .

Rekomendasi Defensif dari Sysdig

Mitigasi berikut ini berasal dari laporan Sysdig dan liputan temuan mereka :

• Perbaiki Langflow segera — Tingkatkan ke Langflow 1.3.0 atau lebih baru untuk menutup CVE-2025-3248 .
• Batasi endpoint /api/v1/validate/code — Jika peningkatan tertunda, tempatkan endpoint di belakang autentikasi atau aturan WAF untuk mengurangi eksposur terhadap eksploitasi yang tidak terautentikasi .
• Audit dan rotasi kredensial yang terekspos — Pindai server Langflow, instance Nacos, dan alat AI/ML terekspos lainnya yang mungkin telah membocorkan cloud, API, atau kredensial database .
• Terapkan segmentasi jaringan — Isolasi server AI/ML, penyimpanan konfigurasi seperti Nacos, dan database produksi sehingga satu host yang dikompromikan tidak dapat beralih langsung ke database .
• Aktifkan pemantauan aktivitas database (DAM) — Beri peringatan pada panggilan AES_ENCRYPT massal, pernyataan SQL yang tidak biasa dari klien non-manusia, atau pola kesalahan-dan-coba-ulang yang cepat .
• Terapkan deteksi runtime untuk perilaku agen — Perhatikan kombinasi koreksi kesalahan cepat, komentar bahasa alami verbose dalam skrip, dan pengumpulan kredensial dari alat AI/ML secara berurutan .
• Jangan andalkan janji dekripsi ransomware — Karena operasi agen otonom dapat membuang kunci enkripsi, membayar tebusan tidak menjamin pemulihan. Cadangan yang tidak dapat diubah dan snapshot offline tetap penting .