Un atacator a încercat să transforme o platformă AI expusă într-o armă împotriva altor servere

O platformă de construit fluxuri AI expusă pe internet nu e doar o fereastră de chat. Dacă stochează chei API, conexiuni la baze de date și unelte HTTP de ieșire, devine un punct de intrare, iar atacatorii o tratează deja așa.

Ce s-a întâmplat

La sfârșitul lui august 2026, echipa Threat Detection & Research (TDR) de la Sekoia a operat o instanță-capcană Flowise. Flowise este o platformă open-source populară pentru construirea de fluxuri și agenți LLM. Capcana nu avea autentificare și era făcută doar să înregistreze activitatea, fără un model real și fără comenzi de sistem reale. Un operator a găsit-o și a lucrat pe ea ore întregi:

• Recunoaștere și furt de credențiale (~3 minute). A verificat dacă serviciul răspunde, a citit versiunea și setările nodurilor, apoi a listat fluxurile și credențialele stocate și a cerut detalii despre unele dintre ele. Pe o instalare reală, slab protejată, acești pași ar expune cheile furnizorilor AI și secretele bazelor de date.
• Scanarea API-ului. După aproximativ două ore de pauză a urmat o scanare mai largă a rutelor API.
• Modificarea fluxurilor. Atacatorul a redenumit un flux existent și a creat unul nou, numit „System Status", cu un nod HTTP Request îndreptat spre o infrastructură externă. Pe un server real, fluxul ar face ca serverul Flowise să contacteze sisteme controlate de atacator. Sekoia descrie asta ca abuz al unei funcții legitime, nu ca exploatarea unei vulnerabilități.
• Prompt injection. Prompturile au încercat să facă agentul să-și dezvăluie instrucțiunile de sistem, să folosească unelte, să ruleze comenzi, să-și „amintească" un cod de acces plantat și să divulge conversațiile altor utilizatori. Dându-se drept „auditor autorizat", operatorul a cerut interogarea unei baze de date și rezumarea înregistrărilor dintr-un flux financiar simulat.
• Agentul întors spre exterior. La final, prompturile au vizat infrastructură reală: un server de monitorizare Nightingale, date Redis și o platformă de jocuri de noroc online activă în Asia. Operatorul a cerut AI-ului analiza țintei, puncte slabe și căi de acces. Interogări periodice ale capcanei au continuat circa 16 ore.

Activitatea semăna cu tiparele de acces neautentificat asociate cu CVE-2024-31621 (remediată în Flowise 1.6.6), dar această vulnerabilitate nu a fost exploatată aici. Cercetătorii estimează că operatorul era probabil vorbitor de chineză și interesat de sectorul iGaming, însă spun că dovezile nu ajung pentru a lega activitatea de un grup cunoscut. Fiind o capcană, totul a rămas la stadiul de încercare: nu au fost atinse date sau sisteme reale.

De ce contează

Pericolul nu este că un chatbot poate răspunde la întrebări, ci că un agent poate acționa: apelează unelte, face cereri în rețea și citește datele la care este conectat. Un prompt singur n-ar trebui să ofere acces. Dar o interfață de administrare expusă, permisiunile largi, secretele stocate și traficul de ieșire nerestricționat transformă împreună platforma AI într-un seif de credențiale și un releu de atac controlat de altcineva.

Ce e de făcut

1. Nu expuneți niciodată Flowise (sau platforme similare) fără autentificare. Puneți interfața și API-ul în spatele SSO/VPN sau al unei liste de IP-uri permise și actualizați la o versiune curentă.
2. Restricționați cine poate edita fluxurile. Modificarea unui flux echivalează cu modificarea codului, așa că revizuiți și alertați la fluxuri noi sau redenumite.
3. Stocați doar credențialele de care are nevoie fiecare agent, cu privilegii minime, și rotiți tot ce ar fi putut fi expus.
4. Limitați traficul de ieșire al serverelor cu agenți la destinațiile strict necesare.
5. Monitorizați API-urile de fluxuri și credențiale pentru rafale de listare și enumerare, precum și tiparele de prompt injection.
6. Cereți aprobare umană înainte ca un agent să execute acțiuni cu impact real.
7. Căutați acești indicatori: callback hxxp://154.217.251[.]226:19999/flowise-hb, flux numit System Status, ID de sesiune tame-session-001, cod de acces TAME-2026-SECRET-7F3A.

Uneltele AI uitate devin rapid cea mai nouă margine negestionată a perimetrului. Serviciul nostru de Attack Surface Management descoperă continuu gazdele și serviciile expuse pe internet, precum acestea, astfel încât o platformă AI deschisă este semnalată înainte să o găsească altcineva.

Credit cercetare: Sekoia Threat Detection & Research (TDR), prin Cyber Security News.