בפלטפורמת Langflow, כלי לבניית זרימות עבודה וסוכנים מבוססי בינה מלאכותית, תוקנה חולשה שמאפשרת לתוקף לא מזוהה להריץ קוד על השרת. הציון שלה הוא 9.8, והיא נמצאת ברשימת החולשות המנוצלות בפועל מאז מאי 2025.
מה החולשה?
Langflow מאפשרת לבנות זרימות עבודה של בינה מלאכותית דרך ממשק גרפי, ולשלב בהן קוד פייתון. כדי לתמוך בזה, למערכת יש נקודת קצה שתפקידה לבדוק קוד שהמשתמש כתב.
הבעיה היא שהנקודה הזאת לא דרשה הזדהות, וגם לא הסתפקה בבדיקת הקוד. היא הריצה אותו. תוקף ששולח בקשת HTTP מתאימה גורם לשרת להריץ קוד פייתון שהוא בחר, בלי חשבון ובלי סיסמה.
זאת דוגמה לדפוס שחוזר בכלי הבינה המלאכותית של השנים האחרונות. הכלים האלה נועדו במקור לרוץ על המחשב של המפתח, במקום שבו הרצת קוד מקומית היא התכונה ולא הבאג. כשאותם כלים נפרסים על שרת שנגיש ברשת, ההנחה הזאת מתהפכת: מה שהיה נוחות הופך לדלת פתוחה.
מי מושפע?
מי שמריץ Langflow בגרסה מוקדמת מ-1.3.0.
בישראל מדובר בעיקר בצוותי פיתוח, בסטארטאפים ובחוקרים שמתנסים בכלי סוכני AI. הסיכון הגבוה ביותר הוא במקרה שבו מישהו הרים מופע לניסוי, השאיר אותו פתוח לאינטרנט, ואז שכח ממנו.
האם מנוצלת בפועל?
כן. ב-5 במאי 2025 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, הרשימה שמרכזת חולשות שידוע שתוקפים מנצלים בשטח.
חולשה שמאפשרת הרצת קוד בלי הזדהות על שרת שנגיש לאינטרנט היא מהמטרות הקלות ביותר לניצול אוטומטי. סורקים מוצאים מופעים חשופים תוך שעות, ולכן שרת שלא עודכן מאז 2025 צריך להיחשב פרוץ עד שיוכח אחרת.
מה עושים?
עדכנו את Langflow לגרסה 1.3.0 או חדשה יותר.
בדקו אם המופע שלכם נגיש מהאינטרנט. כלי פיתוח מהסוג הזה לא אמור להיות פתוח החוצה, וההגבלה לרשת פנימית או ל-VPN מצמצמת את החשיפה יותר מכל דבר אחר.
חפשו מופעים שנשכחו. הסיכון האמיתי כאן אינו השרת המתועד שמישהו אחראי עליו, אלא זה שהוקם לניסוי לפני חודשים וממשיך לרוץ בלי בעלים.
אם הרצתם גרסה חשופה על שרת שפונה לאינטרנט, אל תסתפקו בעדכון. הניחו שייתכן שהקוד כבר הורץ, ובדקו מפתחות גישה ואסימונים שהיו זמינים לשרת הזה, כי הם מה שתוקף לוקח ראשון.