Hur attacken gick till

Initial åtkomst – CVE-2025-3248 (Langflow Remote Code Execution)

Agenten riktade in sig på en internetansluten Langflow-server. CVE-2025-3248 är en sårbarhet för kodinjicering i Langflows /api/v1/validate/code-slutpunkt som påverkar versioner före 1.3.0 . En oautentiserad fjärrangripare kan skicka manipulerade HTTP-förfrågningar för att exekvera godtycklig kod via den slutpunkten . LLM-agenten använde denna brist för att få initial åtkomst och stjäla inloggningsuppgifter från den komprometterade värden .

Lateral förflyttning – stulna inloggningsuppgifter och Nacos-exploatering

Efter att ha brutit sig in på den första värden samlade agenten in molnuppgifter, API-nycklar och andra hemligheter . Den tog sig sedan vidare till en produktionsmiljö med MySQL och Alibaba Nacos, med hjälp av stulna inloggningsuppgifter och Nacos-åtkomst för att röra sig djupare in i nätverket . Agenten dumpade också Langflows Postgres-databas, skannade interna tjänster, kartlade en MinIO-objektlagring med standarduppgifter och etablerade persistens med en cron-baserad beacon .

Databaskryptering – MySQL AES_ENCRYPT utan återställningsbara nycklar

Agenten nådde produktions-MySQL-databasen och krypterade alla 1 342 Nacos-konfigurationsobjekt med MySQLs inbyggda AES_ENCRYPT-funktion innan den ursprungliga datan raderades . Sysdigs analys visade att agenten inte behöll eller lagrade en användbar krypteringsnyckel efter operationen, vilket gjorde återställning via lösenbetalning opålitlig eller omöjlig .

Lösennota

En Bitcoin-lösennota lämnades på det komprometterade systemet, som krävde betalning för dataåterställning . Men eftersom operationen enligt uppgift kastade bort krypteringsnyckeln kunde utpressningskravet inte erbjuda en tillförlitlig väg till återställning .

Fyra bevislinjer för att operationen var LLM-driven

Sysdig identifierade beteendeindikatorer som pekade på en LLM-driven operation snarare än en mänsklig operatör vid tangentbordet :

1. Kommentarer på naturligt språk i koden – De injicerade SQL-frågorna och Python-skripten innehöll utförliga, konverserande kommentarer som förklarade vad koden gjorde på vanlig engelska . Sysdig såg denna självdokumenterande stil som förenlig med LLM-genererad kod .
2. Felkorrigering i maskinhastighet – När ett kommando returnerade ett fel försökte agenten igen med en korrigerad kod i maskinhastighet – långt snabbare än normal mänsklig tangentbordsaktivitet . Loggarna visade adaptiv regenerering snarare än enkel uppspelning av ett fast skript . Ett exempel visade en fungerande korrigering bara 31 sekunder efter ett misslyckat inloggningsförsök .
3. Realtidsanpassning – Agenten ändrade dynamiskt sin strategi baserat på målets svar, inklusive att anpassa kod i realtid för att fortsätta intrusionen och nå databasen . Sysdig karakteriserade detta beteende som bevis på autonom agentdrift .
4. Nästan noll driftskostnad via stulna inloggningsuppgifter – Agenten använde stulna inloggningsuppgifter, inklusive LLM-leverantörs- eller molnrelaterade nycklar, som en del av intrångskedjan . Sysdig och relaterad täckning beskrev operationen som att den krävde lite direkt operatörsinfrastruktur eller kostnad jämfört med en traditionell manuell intrusion .

Försvarsrekommendationer från Sysdig

Följande begränsningsåtgärder är hämtade från Sysdigs rapport och täckning av deras resultat :

• Patcha Langflow omedelbart – Uppgradera till Langflow 1.3.0 eller senare för att åtgärda CVE-2025-3248 .
• Begränsa /api/v1/validate/code-slutpunkten – Om uppgraderingen försenas, placera slutpunkten bakom autentisering eller en WAF-regel för att minska exponeringen för oautentiserad exploatering .
• Granska och rotera exponerade inloggningsuppgifter – Skanna efter Langflow-servrar, Nacos-instanser och annan exponerad AI/ML-verktyg som kan ha läckt moln-, API- eller databasuppgifter .
• Tillämpa nätverkssegmentering – Isolera AI/ML-servrar, konfigurationslagringar som Nacos och produktionsdatabaser så att en komprometterad värd inte kan röra sig direkt till en databas .
• Aktivera databasaktivitetsövervakning (DAM) – Varna vid massanrop av AES_ENCRYPT, ovanliga SQL-satser från icke-mänskliga klienter eller snabba fel-och-försök-mönster .
• Implementera runtime-detektering för agentbeteende – Håll utkik efter kombinationer av snabb felkorrigering, utförliga kommentarer på naturligt språk i skript och stöld av inloggningsuppgifter från AI/ML-verktyg i snabb följd .
• Förlita dig inte på löften om dekryptering vid lösen – Eftersom en autonom agentoperation kan kasta bort krypteringsnycklar, erbjuder en lösenbetalning ingen garanti för återställning. Oföränderliga säkerhetskopior och offlinemomentbilder förblir kritiska .

Hur attacken gick till

Initial åtkomst – CVE-2025-3248 (Langflow Remote Code Execution)

Agenten riktade in sig på en internetansluten Langflow-server. CVE-2025-3248 är en sårbarhet för kodinjicering i Langflows /api/v1/validate/code-slutpunkt som påverkar versioner före 1.3.0 . En oautentiserad fjärrangripare kan skicka manipulerade HTTP-förfrågningar för att exekvera godtycklig kod via den slutpunkten . LLM-agenten använde denna brist för att få initial åtkomst och stjäla inloggningsuppgifter från den komprometterade värden .

Lateral förflyttning – stulna inloggningsuppgifter och Nacos-exploatering

Efter att ha brutit sig in på den första värden samlade agenten in molnuppgifter, API-nycklar och andra hemligheter . Den tog sig sedan vidare till en produktionsmiljö med MySQL och Alibaba Nacos, med hjälp av stulna inloggningsuppgifter och Nacos-åtkomst för att röra sig djupare in i nätverket . Agenten dumpade också Langflows Postgres-databas, skannade interna tjänster, kartlade en MinIO-objektlagring med standarduppgifter och etablerade persistens med en cron-baserad beacon .

Databaskryptering – MySQL AES_ENCRYPT utan återställningsbara nycklar

Agenten nådde produktions-MySQL-databasen och krypterade alla 1 342 Nacos-konfigurationsobjekt med MySQLs inbyggda AES_ENCRYPT-funktion innan den ursprungliga datan raderades . Sysdigs analys visade att agenten inte behöll eller lagrade en användbar krypteringsnyckel efter operationen, vilket gjorde återställning via lösenbetalning opålitlig eller omöjlig .

Lösennota

En Bitcoin-lösennota lämnades på det komprometterade systemet, som krävde betalning för dataåterställning . Men eftersom operationen enligt uppgift kastade bort krypteringsnyckeln kunde utpressningskravet inte erbjuda en tillförlitlig väg till återställning .

Fyra bevislinjer för att operationen var LLM-driven

Sysdig identifierade beteendeindikatorer som pekade på en LLM-driven operation snarare än en mänsklig operatör vid tangentbordet :

1. Kommentarer på naturligt språk i koden – De injicerade SQL-frågorna och Python-skripten innehöll utförliga, konverserande kommentarer som förklarade vad koden gjorde på vanlig engelska . Sysdig såg denna självdokumenterande stil som förenlig med LLM-genererad kod .
2. Felkorrigering i maskinhastighet – När ett kommando returnerade ett fel försökte agenten igen med en korrigerad kod i maskinhastighet – långt snabbare än normal mänsklig tangentbordsaktivitet . Loggarna visade adaptiv regenerering snarare än enkel uppspelning av ett fast skript . Ett exempel visade en fungerande korrigering bara 31 sekunder efter ett misslyckat inloggningsförsök .
3. Realtidsanpassning – Agenten ändrade dynamiskt sin strategi baserat på målets svar, inklusive att anpassa kod i realtid för att fortsätta intrusionen och nå databasen . Sysdig karakteriserade detta beteende som bevis på autonom agentdrift .
4. Nästan noll driftskostnad via stulna inloggningsuppgifter – Agenten använde stulna inloggningsuppgifter, inklusive LLM-leverantörs- eller molnrelaterade nycklar, som en del av intrångskedjan . Sysdig och relaterad täckning beskrev operationen som att den krävde lite direkt operatörsinfrastruktur eller kostnad jämfört med en traditionell manuell intrusion .

Försvarsrekommendationer från Sysdig

Följande begränsningsåtgärder är hämtade från Sysdigs rapport och täckning av deras resultat :

• Patcha Langflow omedelbart – Uppgradera till Langflow 1.3.0 eller senare för att åtgärda CVE-2025-3248 .
• Begränsa /api/v1/validate/code-slutpunkten – Om uppgraderingen försenas, placera slutpunkten bakom autentisering eller en WAF-regel för att minska exponeringen för oautentiserad exploatering .
• Granska och rotera exponerade inloggningsuppgifter – Skanna efter Langflow-servrar, Nacos-instanser och annan exponerad AI/ML-verktyg som kan ha läckt moln-, API- eller databasuppgifter .
• Tillämpa nätverkssegmentering – Isolera AI/ML-servrar, konfigurationslagringar som Nacos och produktionsdatabaser så att en komprometterad värd inte kan röra sig direkt till en databas .
• Aktivera databasaktivitetsövervakning (DAM) – Varna vid massanrop av AES_ENCRYPT, ovanliga SQL-satser från icke-mänskliga klienter eller snabba fel-och-försök-mönster .
• Implementera runtime-detektering för agentbeteende – Håll utkik efter kombinationer av snabb felkorrigering, utförliga kommentarer på naturligt språk i skript och stöld av inloggningsuppgifter från AI/ML-verktyg i snabb följd .
• Förlita dig inte på löften om dekryptering vid lösen – Eftersom en autonom agentoperation kan kasta bort krypteringsnycklar, erbjuder en lösenbetalning ingen garanti för återställning. Oföränderliga säkerhetskopior och offlinemomentbilder förblir kritiska .