AI agent khai thác RCE của Langflow để tự động hóa tấn công ransomware cơ sở dữ liệu
"Sysdig reported what it believes is the first ransomware attack executed end-to-end by an AI agent, which used CVE-2025-3248 in Langflow to gain initial access and then stole credentials, moved laterally, and encrypted and deleted a production Nacos database. The attack also abused CVE-2021-29441 and weak/default credentials, and the recommended fixes are to patch Langflow, avoid exposing agent endpoints publicly, harden Nacos, and keep secrets out of reachable environments."
Vụ việc cho thấy rủi ro cao khi RCE không cần xác thực kết hợp với tự động hóa tác vụ có thể dẫn tới mã hóa/xóa dữ liệu quy mô lớn. Các điểm then chốt gồm CVE-2025-3248, khai thác CVE-2021-29441, và lạm dụng tài khoản/khóa mặc định.
Tác động kinh doanh nghiêm trọng do khả năng làm gián đoạn dịch vụ và mất dữ liệu khi nhắm vào cơ sở dữ liệu sản xuất. Rủi ro tăng do agent có thể tự động di chuyển ngang và duy trì truy cập thông qua cơ chế quay lại.
Theo Sysdig, nhóm Threat Research ghi nhận một vụ ransomware được thực thi end-to-end bởi một AI agent, từ giai đoạn xâm nhập đến mã hóa và xóa dữ liệu. Tác nhân được đặt tên JADEPUFFER; mô hình ngôn ngữ đảm nhiệm chuỗi hành động gồm phá khóa, đánh cắp thông tin đăng nhập, di chuyển ngang và cuối cùng mã hóa/xóa cơ sở dữ liệu sản xuất.
Điểm khởi đầu là lỗ hổng CVE-2025-3248 trong Langflow (thiếu xác thực, cho phép thực thi mã Python từ xa). Sysdig cho biết Langflow thường bị đặt công khai và có thể chứa API keys hoặc credential cho các dịch vụ liên kết. Bản vá được đưa vào Langflow 1.3.0, đồng thời CVE-2025-3248 đã được thêm vào danh sách CISA Known Exploited Vulnerabilities từ tháng 5/2025, nhưng nhiều máy chủ vẫn chưa cập nhật.
Sau khi chiếm quyền, agent thu thập nhiều loại bí mật, dùng tài khoản mặc định để truy cập MinIO và cài cơ chế quay lại qua tác vụ định kỳ. Mục tiêu tiếp theo là máy chủ công khai chạy MySQL và Alibaba Nacos; agent khai thác CVE-2021-29441, lợi dụng khóa ký mặc định của Nacos và tạo tài khoản quản trị mới. Sysdig cũng nêu khuyến nghị: vá Langflow, không phơi bày endpoint chạy mã ra Internet, cứng hóa Nacos (đổi khóa ký mặc định, không dùng root, hạn chế kết nối), và quản lý bí mật bằng kho chuyên dụng thay vì để trong môi trường có thể truy cập từ web.