Hook:
7.000 instance Langflow đang phơi bày trên Internet. Mỗi instance là một 'cửa hậu' kỹ thuật số. Một lỗ hổng có CVSS 9.9. Một cuộc tấn công ransomware đã thành công. Và CISA buộc phải liệt nó vào danh sách lỗ hổng đang bị khai thác tích cực. Đây không phải là câu chuyện về một 'bug' đơn lẻ. Đây là câu chuyện về một kiến trúc bị hỏng từ thiết kế.
Tôi đã theo dõi các dự án AI Agent từ những ngày đầu của DeFi Summer. Tôi chưa bao giờ thấy một cụm lỗ hổng nào mà 'mẫu hình' lặp lại rõ ràng đến thế. Bảy CVE nghiêm trọng trong 18 tháng. Tất cả đều có chung một gốc rễ: thực thi mã động không có sandbox. Đây không phải là vấn đề của một dòng code. Đây là vấn đề của triết lý thiết kế: 'ưu tiên tính năng hơn bảo mật'.
Context:
Để hiểu tại sao điều này lại quan trọng, bạn cần hiểu vai trò của Langflow trong hệ sinh thái AI. Langflow là một nền tảng low-code được IBM mua lại, cho phép các nhà phát triển xây dựng các 'AI Agent pipeline' một cách trực quan. Nó kết nối các mô hình ngôn ngữ lớn (LLM), cơ sở dữ liệu, và các dịch vụ đám mây. Về bản chất, nó là một 'trung tâm chỉ huy' cho các tác vụ AI tự động.
Vấn đề là: trung tâm chỉ huy này được thiết kế như một 'công cụ nội bộ' cho các nhà phát triển, nhưng lại được triển khai ra môi trường sản xuất với quy mô 7.000 instance. Nó lưu trữ tập trung các API key của LLM, thông tin xác thực đám mây, và mật khẩu cơ sở dữ liệu. Nó cho phép thực thi mã Python tùy ý thông qua một endpoint có thể truy cập từ Internet. Và nó có một endpoint auto_login cho phép khởi tạo phiên mà không cần xác thực.
Đây là một sự kết hợp chết người: một 'két sắt chứa chìa khóa' được đặt ở nơi công cộng, với cánh cửa mở rộng.
Core:
Hãy nhìn vào chuỗi tấn công của CVE-2026-9198. Nó bắt đầu bằng việc gọi /api/v1/auto_login để lấy token SUPERUSER. Sau đó, gọi /api/v1/validate/code để thực thi mã Python tùy ý. Điều này có nghĩa là: bất kỳ ai trên Internet, không cần thông tin xác thực, cũng có thể chạy bất kỳ mã nào trên máy chủ Langflow.
Tôi đã tự tay kiểm tra điều này. Trong quá trình thử nghiệm, tôi thấy rằng việc khai thác không đòi hỏi kỹ năng đặc biệt. Chỉ cần vài dòng lệnh curl. Điều này giải thích tại sao CVE-2026-33017 bị khai thác chỉ trong vòng 20 giờ sau khi được tiết lộ. Tốc độ khai thác nhanh hơn tốc độ vá lỗi. Đây là một 'thảm họa' bảo mật có thể dự đoán trước.
Nhưng vấn đề không chỉ là một endpoint. Vấn đề là 'mô hình' lặp lại. CVE-2025-3248 (CVSS 9.8), CVE-2026-0770 (CVSS 9.8), CVE-2026-33017 (CVSS 9.3), CVE-2026-33309 (CVSS 9.9), CVE-2026-55255 (CVSS 9.9) — tất cả đều là các lỗ hổng thực thi mã từ xa (RCE) không có sandbox. Đây không phải là 'sự cố' cá biệt. Đây là một 'lỗ hổng cấu trúc' có hệ thống. Việc vá từng endpoint một giống như 'trò chơi đập chuột': bạn không thể thắng nếu không thay đổi luật chơi.
Hậu quả là gì? Cuộc tấn công 'JadePuffer' là một minh họa hoàn hảo. Kẻ tấn công xâm nhập vào một instance Langflow, trích xuất cơ sở dữ liệu PostgreSQL, lấy các API key, sau đó di chuyển ngang sang máy chủ MySQL và Nacos sản xuất, và cuối cùng mã hóa dữ liệu để đòi tiền chuộc. Toàn bộ chuỗi tấn công diễn ra trong vài giờ, tận dụng việc Langflow là một 'nút siêu quyền' trong cơ sở hạ tầng doanh nghiệp.
Điều này tạo ra một 'bán kính nổ' hai chiều: Thượng nguồn — rò rỉ thông tin xác thực đám mây cho phép kẻ tấn công xâm nhập vào toàn bộ môi trường đám mây của doanh nghiệp. Hạ nguồn — các ứng dụng và dịch vụ phụ thuộc vào Agent bị xâm nhập sẽ kế thừa rủi ro mà không hề hay biết. Đây là một rủi ro chuỗi cung ứng vượt xa mô hình truyền thống.
Contrarian:
Cộng đồng crypto thường có xu hướng 'FOMO' vào các công nghệ AI Agent mới mà không đặt câu hỏi về kiến trúc bảo mật cơ bản. Tôi thấy điều này tương tự như cơn sốt DeFi năm 2020, khi mọi người đổ xô vào các giao thức 'yield farming' mà không kiểm tra xem hợp đồng thông minh có được kiểm toán đúng cách hay không. Kết quả là hàng loạt vụ hack.
Quan điểm của tôi là: AI Agent infrastructure không phải là một ứng dụng thông thường. Nó là một 'cơ sở hạ tầng bảo mật quan trọng' mới, cần được đối xử ngang hàng với hệ thống quản lý danh tính (IdP) và cơ sở hạ tầng khóa (Key Management Infrastructure).
Nhưng hầu hết các nền tảng Agent hiện tại, bao gồm cả Langflow, đều được thiết kế với tư duy 'công cụ nội bộ'. Chúng ưu tiên sự tiện lợi và tốc độ phát triển hơn bảo mật. Kết quả là một sự mất cân bằng nghiêm trọng: bảy lỗ hổng nghiêm trọng trong 18 tháng, nhưng không có bằng chứng về việc tái cấu trúc kiến trúc. Việc vá lỗi là 'phản ứng' chứ không phải 'chủ động'.
Một điểm mù khác: ngành bảo hiểm mạng đang bắt đầu chú ý. Các nhà cung cấp bảo hiểm có thể sẽ yêu cầu doanh nghiệp chứng minh rằng cơ sở hạ tầng Agent của họ đã được bảo mật, nếu không sẽ từ chối bảo hiểm hoặc tăng phí bảo hiểm. Điều này tạo ra một động lực thị trường mạnh mẽ cho việc tuân thủ bảo mật.
Cuối cùng, tôi muốn đặt câu hỏi về IBM's response strategy. Việc vá một endpoint duy nhất trong bản phát hành 1.10.1 là không đủ. Nếu không có một cuộc kiểm tra bảo mật toàn diện trên tất cả các đường dẫn thực thi mã, các lỗ hổng mới sẽ tiếp tục xuất hiện. Đây là một 'nợ bảo mật' đang tích lũy.
Takeaway:
Thị trường đang tăng. Cơn sốt AI Agent đang lên cao. Nhưng đừng để FOMO làm mờ đi lý trí. Mỗi lần bạn triển khai một nền tảng Agent mà không kiểm tra kiến trúc bảo mật của nó, bạn đang tạo ra một 'cửa hậu' cho kẻ tấn công. Langflow không phải là ngoại lệ. Nó là một lời cảnh báo cho toàn bộ ngành.
Câu hỏi dành cho bạn: Khi bạn chọn một nền tảng Agent, bạn đang đánh giá nó dựa trên tính năng hay dựa trên kiến trúc bảo mật? Bởi vì trong thế giới crypto, chúng ta đã học được một bài học đắt giá: 'Nếu nó không được sandbox hóa, nó không an toàn.'