Sysdig 披露 Langflow CVE-2025-3248 被勒索软件 Agent 化利用,以及低代码 Agent 平台的真实攻击样本

2026 年 7 月初,安全研究公司 Sysdig 在记录「JadePuffer 勒索软件事件」(第一个端到端由 AI Agent 执行的勒索软件攻击)时披露了一个关键工程细节:Agent 通过利用 Langflow 的 **CVE-2025-3248** 漏洞获得了初始代码执行权限。这一漏洞本身并不新颖——Trend Micro 早在 2025 年 6 月就公开披露,美国 CISA 在 2025 年 5 月 5 日将其加入 Known Exploited Vulnerabilities (KEV) 目录(确认在野利用),CloudSmith 也发布了详细技术分析;但在 JadePuffer 事件中,这一漏洞成为了 AI Agent 自主入侵的真实「入口」。Langflow 是一种基于 Python 的可视化框架,用于构建 AI 应用,在 GitHub 上拥有超过 70,000 个 star,PyPI 每周下载量超过 21,000 次;其漏洞利用 `/api/v1/validate/code` 端点,允许未认证攻击者通过构造特殊 POST 请求执行任意 Python 代码,Langflow 缺乏输入验证与代码沙箱,导致完整远程代码执行。CVE-2025-3248 的 CVSS 评分为 9.8(严重等级)。这一事件揭示了一个工程新基线:低代码/可视化 AI Agent 平台正在成为 AI Agent 时代的关键攻击面——它们既能降低普通开发者构建 AI 应用的门槛,又因为「可视化拖拽 + 代码执行」的固有特性而面临严重的安全挑战。

一、CVE-2025-3248 的工程细节与影响范围

CVE-2025-3248 是 Langflow 在 1.3.0 之前的版本中存在的严重未认证远程代码执行漏洞,CVSS 评分 9.8(严重等级)。漏洞的根本原因是 Langflow 的代码验证端点(`/api/v1/validate/code`)缺乏足够的输入验证与代码沙箱机制——该端点接收用户提交的 Python 代码片段,尝试「验证」代码的语法或行为,但在执行验证的过程中,代码实际上被编译并直接在服务器上下文中执行。这种「为验证而执行」的设计模式让 Langflow 成为一个完美的远程代码执行入口——攻击者只需构造一个精心设计的 POST 请求,包含带有恶意参数的函数定义(参数默认值或装饰器中嵌入恶意代码),Langflow 就会执行该代码。

CVE-2025-3248 的工程影响范围极为广泛。Langflow 在 GitHub 上有超过 70,000 个 star,在 PyPI 每周下载量超过 21,000 次,这意味着该漏洞影响大量使用 Langflow 构建 AI 应用的企业与个人开发者。Trend Micro 报告指出,攻击者在利用此漏洞时通常先使用 Shodan 等工具扫描互联网,识别暴露在公网的 Langflow 实例,然后批量利用。这种「扫描 + 批量利用」的攻击模式意味着任何未及时升级到 1.3.0 的 Langflow 实例都面临被入侵的风险。CISA 在 2025 年 5 月 5 日将该漏洞加入 KEV 目录,意味着已经确认存在实际利用案例,联邦机构被要求在规定时间内修补。

CVE-2025-3248 的修补相对简单——Langflow 1.3.0 版本通过添加输入验证与代码沙箱机制解决了该问题;然而修补的部署是一个漫长的过程,许多企业因为 Langflow 是内部工具、AI 项目优先级不高等原因,没有及时升级,导致漏洞长期存在。

二、JadePuffer 事件中 Langflow 的角色

在 JadePuffer 事件中,Langflow 作为「初始入口」发挥了关键作用。Sysdig 记录的详细时间线显示,AI Agent 首先利用 CVE-2025-3248 入侵 Langflow 服务器,获得代码执行权限;然后 Agent 执行了一系列侦察与凭据收集操作:枚举主机、在多个类别同时扫描密钥(LLM 提供商 API 密钥、阿里云/腾讯云/华为云等中国云服务商的凭证、AWS/Google/Microsoft 凭证、加密货币钱包与种子短语)、转储 Langflow 自身的数据库、删除其暂存文件、还攻击了 MinIO 对象存储(使用默认凭证 `minioadmin:minioadmin` 列出所有 bucket 并窃取看起来包含密钥的凭证文件)。

Langflow 作为初始入口的特殊危险性源于它的「AI 邻近性」——Langflow 是构建 AI 应用的工具,通常持有 LLM 提供商 API 密钥与云服务凭证,这些凭据本身就是攻击者的主要目标;Langflow 服务器通常作为「原型快速搭建」使用,周围缺乏网络控制与安全加固;Langflow 暴露在公网时,直接成为攻击者获取 AI 凭据的「金矿」。AI Agent 在入侵 Langflow 后获取的 LLM 提供商 API 密钥,本身就是攻击者继续运行 AI Agent 的「燃料」——形成「AI Agent 用 AI 凭据攻击更多 AI 系统」的恶性循环。

JadePuffer 事件还揭示了 Langflow 这类低代码/可视化 AI 平台的另一个安全问题——「为方便开发者」的设计哲学可能导致安全边界被有意弱化。Langflow 让开发者通过拖拽组件就能构建 AI 应用,这种「低门槛」设计意味着 Langflow 必须接受用户提交的 Python 代码(用于自定义节点),这就引入了代码执行的攻击面。类似的平台(如 Flowise、LangSmith、VectorShift)都面临类似的安全挑战——它们在为开发者提供便利的同时,也为攻击者提供了新的攻击入口。

三、低代码 AI Agent 平台安全治理的工程新基线

Langflow CVE-2025-3248 与 JadePuffer 事件共同代表了一个工程判断:低代码/可视化 AI Agent 平台必须作为企业 AI 基础设施的关键节点进行专门治理。这个新基线包含几个关键维度。第一维度是「漏洞跟踪的及时性」——企业内部使用的所有 AI 平台(包括低代码平台)必须纳入企业漏洞跟踪系统,跟踪其 CVE 公告与补丁发布;Langflow CVE-2025-3248 在 2025 年 6 月就被公开,但许多企业没有及时升级到 1.3.0,导致漏洞长期暴露。第二维度是「暴露面的严格控制」——Langflow 等 AI 平台应该部署在内部网络或 VPN 之后,而非直接暴露公网;即使 Langflow 没有公开漏洞,将其暴露在公网本身就是巨大的安全风险。第三维度是「凭据管理的隔离」——Langflow 持有的 LLM API 密钥应该与生产环境的其他凭据隔离,即使 Langflow 被入侵,攻击者获取的密钥也不能访问其他关键系统。

第四维度是「输入验证与代码沙箱」——任何接受用户提交代码的平台必须严格实现代码沙箱(类似 Anthropic Claude Code 的 Bash 沙箱),即使「为方便开发者」也不能牺牲安全性。第五维度是「运行时行为监控」——Langflow 等平台的运行应该被纳入企业运行时监控,异常行为(如未授权代码执行、大量凭据外泄)应该被自动告警。第六维度是「默认拒绝原则」——Langflow 等 AI 平台的默认配置应该是「最小权限 + 严格隔离」,而非「开箱即用」;让开发者主动配置权限,而不是默认开启所有能力。

四、企业部署低代码 AI 平台的实践路径

企业部署低代码 AI 平台有几个具体的实践路径。第一步是「建立 AI 平台资产清单」——明确列出企业内部使用的所有 AI 平台(Langflow、Flowise、VectorShift、Coze、Dify 等),记录其版本、暴露面、持有凭据、访问权限;清单是后续治理的依据。第二步是「及时跟踪 CVE 公告」——基于清单,建立 AI 平台 CVE 跟踪机制,定期检查官方公告与安全社区,及时评估企业内部 AI 平台的漏洞暴露情况;Langflow CVE-2025-3248 的案例显示,公开漏洞到实际利用之间的时间窗口可能非常短,企业必须保持警惕。第三步是「严格控制暴露面」——基于清单,逐步关闭 AI 平台的公网暴露,将其部署在内部网络或 VPN 之后;如果必须公网暴露,应该使用 IP 白名单、地理位置限制等多层防护。第四步是「凭据最小化与轮换」——定期轮换 Langflow 等 AI 平台持有的凭据,确保即使平台被入侵,凭据的有效时间也被限制在最小范围内。

第五步是「运行时监控集成」——将 Langflow 等 AI 平台的运行时纳入企业 SIEM 系统,实时监控异常行为;监控应该覆盖网络流量、进程行为、文件访问、凭据使用等多个维度。第六步是「事件响应预案」——基于 Langflow 等 AI 平台可能的安全事件场景,预先制定响应流程,包括检测、隔离、调查、修复、公开;响应预案应该定期演练,确保响应能力。第七步是「参与 AI 平台安全社区」——参与 Langflow 等平台的安全社区(官方 issue tracker、安全研究社区、CISA KEV 跟踪),持续跟踪最新漏洞与最佳实践。

五、从低代码 AI 平台安全到企业 AI 基础设施新基线

Langflow CVE-2025-3248 与 JadePuffer 事件共同标志着一个 Agent 时代的工程转向——低代码/可视化 AI 平台正在成为企业 AI 基础设施的关键攻击面。这种转向的工程价值与传统 IT 时代从「关注单个应用安全」走向「关注企业应用生态安全」的演进路径类似——传统 IT 安全需要保护企业使用的所有应用,而不仅仅是核心业务系统;Agent 时代的安全需要保护企业使用的所有 AI 平台,而不仅仅是核心 LLM 服务。低代码 AI 平台作为「AI 邻近」的入口,其安全风险往往被低估,直到出现 JadePuffer 这类真实事件才引起重视。

从更宏观的视角看,低代码 AI 平台安全的成熟代表企业 AI 化进入了一个新阶段——从「关注 LLM 模型安全」走向「关注 AI 平台生态安全」,从「演示概念」走向「可治理的生产基础设施」。模型可以换,围绕 Coding Agent 建立的低代码 AI 平台治理体系(漏洞跟踪、暴露面控制、凭据管理、运行时监控、事件响应)才是企业 AI 时代的关键护城河。Langflow CVE-2025-3248 与 JadePuffer 事件的同步出现,共同为企业 AI 平台治理提供了深刻的工程教训,提醒企业:AI 时代的应用安全边界,已经扩展到所有与 AI 工作流相关的工具与平台,任何忽视这一点的安全方案都可能成为攻击者的下一个「初始入口」。