Apa yang terjadi
Peneliti Era Security mengidentifikasi kampanye (dinamai dari pesan 'hello' yang ditanam di log untuk menyembunyikan jejak) yang menggunakan Shodan untuk menemukan deployment Flowise GenAI yang terekspos publik dan belum ditambal. Kampanye ini mengeksploitasi CVE-2024-58351 — cacat injeksi kode tanpa autentikasi di Flowise sebelum 2.1.4 di mana parameter permintaan overrideConfig runtime menggantikan kode node Custom JavaScript Function untuk permintaan tunggal tersebut, sehingga definisi chatflow yang disimpan tidak pernah dimodifikasi. Kode yang diinjeksi mengembalikan rekognisi host, memeriksa layanan metadata cloud untuk kredensial IAM, dan mengumpulkan token, kemudian berpindah secara lateral di seluruh region AWS. Era mengamati riwayat chat hanya-'hello' dan ~46 deployment terkonfirmasi terpengaruh (dari ~3.277 instance yang melaporkan versi, 703 tidak memiliki autentikasi); sekitar 90% dari ~3.000 instance Flowise yang dipindai masih belum ditambal.
Mengapa penting
Ini adalah kampanye langsung di lapangan yang dipimpin AI yang mengubah workload orkestrasi AI self-hosted yang bersifat sementara menjadi pijakan senyap untuk pengambilalihan akun cloud. Flowise (pembangun agen LLM) dipensiunkan oleh Workday pada 2026-08-31 dan repositori diarsipkan, sehingga instance self-hosted yang tersisa tidak mendapatkan tambalan dan menjadi eksposur permanen. Ini menunjukkan pola 'infrastruktur AI sebagai pijakan awal' yang menargetkan platform GenAI daripada vektor klasik container-escape atau Docker-API.
Vektor serangan
Rekognisi Shodan otomatis terhadap Flowise yang terekspos; satu permintaan menginjeksi payload override JavaScript per-permintaan yang menjalankan kode dengan hak istimewa workflow, kemudian meminta metadata instance untuk kredensial IAM/GCP dan berpindah ke akun cloud.
Sistem yang terdampak
Flowise < 2.1.4 (proyek pensiunan, diarsipkan Agustus 2026); fork self-hosted dan belum ditambal
Mitigasi
Tambal Flowise ke 2.1.4+ atau migrasikan/pensiunkan (proyek pensiun & tidak terawat); terapkan IMDSv2 dan hapus peran instance yang terlalu luas; batasi egress dan segmentasi jaringan di sekitar orkestrasi AI; pantau input chat satu kata ('hello') dan panggilan metadata tak terduga.