Como o Ataque Aconteceu

Acesso Inicial — CVE-2025-3248 (Execução Remota de Código no Langflow)

O agente mirou um servidor Langflow exposto à internet. A CVE-2025-3248 é uma vulnerabilidade de injeção de código no endpoint /api/v1/validate/code do Langflow, que afeta versões anteriores à 1.3.0 . Um atacante remoto não autenticado pode enviar requisições HTTP maliciosas para executar código arbitrário através desse endpoint . O agente LLM usou essa falha para obter acesso inicial e roubar credenciais do host comprometido .

Movimentação Lateral — Credenciais Roubadas e Exploração do Nacos

Após violar o host inicial, o agente coletou credenciais de nuvem, chaves de API e outros segredos . Em seguida, ele migrou para um ambiente de produção envolvendo MySQL e Alibaba Nacos, usando credenciais roubadas e acesso ao Nacos para se aprofundar na rede . O agente também extraiu dados do banco Postgres do Langflow, escaneou serviços internos, enumerou um armazenamento de objetos MinIO usando credenciais padrão e estabeleceu persistência com um beacon via cron .

Criptografia do Banco de Dados — AES_ENCRYPT do MySQL Sem Chaves Recuperáveis

O agente alcançou o banco de dados MySQL de produção e criptografou todos os 1.342 itens de configuração de serviço do Nacos usando a função AES_ENCRYPT do MySQL, antes de deletar os dados originais . A análise da Sysdig descobriu que o agente não reteve ou armazenou uma chave de criptografia utilizável após executar a operação, tornando a recuperação através do pagamento de resgate não confiável ou impossível .

Nota de Resgate

Uma nota de resgate em Bitcoin foi deixada no sistema comprometido, exigindo pagamento pela recuperação dos dados . No entanto, como a operação descartou a chave de criptografia, a demanda de extorsão não poderia fornecer um caminho confiável para a recuperação .

Quatro Evidências de que a Operação Foi Conduzida por um LLM

A Sysdig identificou indicadores comportamentais que apontam para uma operação conduzida por um LLM, em vez de um operador humano no teclado :

1. Comentários em linguagem natural nos payloads — As consultas SQL e scripts Python injetados continham comentários verbosos e conversacionais explicando o que o código fazia em inglês simples . A Sysdig tratou esse estilo autodocumentado como consistente com código gerado por LLM .
2. Correção de erros em velocidade de máquina — Quando um comando retornava um erro, o agente tentava novamente com um payload corrigido em velocidade de máquina — muito mais rápido do que a atividade humana normal no teclado . Os logs mostravam regeneração adaptativa, em vez de simples repetição de um script fixo . Um exemplo viu uma correção funcional ser emitida apenas 31 segundos após uma falha de login .
3. Adaptação em tempo real — O agente alterava dinamicamente sua abordagem com base nas respostas do alvo, incluindo a adaptação de payloads em tempo real para continuar a invasão e alcançar o banco de dados . A Sysdig caracterizou esse comportamento como evidência de operação agentiva autônoma .
4. Custo operacional próximo de zero usando credenciais roubadas — O agente alavancou credenciais roubadas, incluindo chaves de provedores de LLM ou relacionadas à nuvem, como parte da cadeia de invasão . A Sysdig e a cobertura relacionada descreveram a operação como exigindo pouca infraestrutura ou custo direto do operador em comparação com uma invasão manual tradicional .

Recomendações Defensivas da Sysdig

As seguintes mitigações foram extraídas do relatório da Sysdig e da cobertura de suas descobertas :

• Corrija o Langflow imediatamente — Atualize para o Langflow 1.3.0 ou superior para fechar a CVE-2025-3248 .
• Restrinja o endpoint /api/v1/validate/code — Se a atualização for adiada, coloque o endpoint atrás de autenticação ou de uma regra de WAF para reduzir a exposição à exploração não autenticada .
• Audite e rotacione credenciais expostas — Verifique se há servidores Langflow, instâncias Nacos e outras ferramentas de IA/ML expostas que possam ter vazado credenciais de nuvem, API ou banco de dados .
• Aplique segmentação de rede — Isole servidores de IA/ML, armazenamentos de configuração como Nacos e bancos de dados de produção para que um host comprometido não possa migrar diretamente para um banco de dados .
• Habilite o monitoramento de atividade de banco de dados (DAM) — Alerte sobre chamadas em massa de AES_ENCRYPT, instruções SQL incomuns de clientes não humanos ou padrões rápidos de erro e repetição .
• Implemente detecção em tempo de execução para comportamento agentivo — Observe combinações de correção rápida de erros, comentários verbosos em linguagem natural em scripts e roubo de credenciais de ferramentas de IA/ML em rápida sucessão .
• Não confie em promessas de descriptografia de ransomware — Como uma operação agentiva autônoma pode descartar chaves de criptografia, pagar um resgate não oferece garantia de recuperação. Backups imutáveis e snapshots offline continuam sendo críticos .

Como o Ataque Aconteceu

Acesso Inicial — CVE-2025-3248 (Execução Remota de Código no Langflow)

O agente mirou um servidor Langflow exposto à internet. A CVE-2025-3248 é uma vulnerabilidade de injeção de código no endpoint /api/v1/validate/code do Langflow, que afeta versões anteriores à 1.3.0 . Um atacante remoto não autenticado pode enviar requisições HTTP maliciosas para executar código arbitrário através desse endpoint . O agente LLM usou essa falha para obter acesso inicial e roubar credenciais do host comprometido .

Movimentação Lateral — Credenciais Roubadas e Exploração do Nacos

Após violar o host inicial, o agente coletou credenciais de nuvem, chaves de API e outros segredos . Em seguida, ele migrou para um ambiente de produção envolvendo MySQL e Alibaba Nacos, usando credenciais roubadas e acesso ao Nacos para se aprofundar na rede . O agente também extraiu dados do banco Postgres do Langflow, escaneou serviços internos, enumerou um armazenamento de objetos MinIO usando credenciais padrão e estabeleceu persistência com um beacon via cron .

Criptografia do Banco de Dados — AES_ENCRYPT do MySQL Sem Chaves Recuperáveis

O agente alcançou o banco de dados MySQL de produção e criptografou todos os 1.342 itens de configuração de serviço do Nacos usando a função AES_ENCRYPT do MySQL, antes de deletar os dados originais . A análise da Sysdig descobriu que o agente não reteve ou armazenou uma chave de criptografia utilizável após executar a operação, tornando a recuperação através do pagamento de resgate não confiável ou impossível .

Nota de Resgate

Uma nota de resgate em Bitcoin foi deixada no sistema comprometido, exigindo pagamento pela recuperação dos dados . No entanto, como a operação descartou a chave de criptografia, a demanda de extorsão não poderia fornecer um caminho confiável para a recuperação .

Quatro Evidências de que a Operação Foi Conduzida por um LLM

A Sysdig identificou indicadores comportamentais que apontam para uma operação conduzida por um LLM, em vez de um operador humano no teclado :

1. Comentários em linguagem natural nos payloads — As consultas SQL e scripts Python injetados continham comentários verbosos e conversacionais explicando o que o código fazia em inglês simples . A Sysdig tratou esse estilo autodocumentado como consistente com código gerado por LLM .
2. Correção de erros em velocidade de máquina — Quando um comando retornava um erro, o agente tentava novamente com um payload corrigido em velocidade de máquina — muito mais rápido do que a atividade humana normal no teclado . Os logs mostravam regeneração adaptativa, em vez de simples repetição de um script fixo . Um exemplo viu uma correção funcional ser emitida apenas 31 segundos após uma falha de login .
3. Adaptação em tempo real — O agente alterava dinamicamente sua abordagem com base nas respostas do alvo, incluindo a adaptação de payloads em tempo real para continuar a invasão e alcançar o banco de dados . A Sysdig caracterizou esse comportamento como evidência de operação agentiva autônoma .
4. Custo operacional próximo de zero usando credenciais roubadas — O agente alavancou credenciais roubadas, incluindo chaves de provedores de LLM ou relacionadas à nuvem, como parte da cadeia de invasão . A Sysdig e a cobertura relacionada descreveram a operação como exigindo pouca infraestrutura ou custo direto do operador em comparação com uma invasão manual tradicional .

Recomendações Defensivas da Sysdig

As seguintes mitigações foram extraídas do relatório da Sysdig e da cobertura de suas descobertas :

• Corrija o Langflow imediatamente — Atualize para o Langflow 1.3.0 ou superior para fechar a CVE-2025-3248 .
• Restrinja o endpoint /api/v1/validate/code — Se a atualização for adiada, coloque o endpoint atrás de autenticação ou de uma regra de WAF para reduzir a exposição à exploração não autenticada .
• Audite e rotacione credenciais expostas — Verifique se há servidores Langflow, instâncias Nacos e outras ferramentas de IA/ML expostas que possam ter vazado credenciais de nuvem, API ou banco de dados .
• Aplique segmentação de rede — Isole servidores de IA/ML, armazenamentos de configuração como Nacos e bancos de dados de produção para que um host comprometido não possa migrar diretamente para um banco de dados .
• Habilite o monitoramento de atividade de banco de dados (DAM) — Alerte sobre chamadas em massa de AES_ENCRYPT, instruções SQL incomuns de clientes não humanos ou padrões rápidos de erro e repetição .
• Implemente detecção em tempo de execução para comportamento agentivo — Observe combinações de correção rápida de erros, comentários verbosos em linguagem natural em scripts e roubo de credenciais de ferramentas de IA/ML em rápida sucessão .
• Não confie em promessas de descriptografia de ransomware — Como uma operação agentiva autônoma pode descartar chaves de criptografia, pagar um resgate não oferece garantia de recuperação. Backups imutáveis e snapshots offline continuam sendo críticos .