何が起きたか
Era Securityの研究者は、ログに「hello」メッセージを仕込んで痕跡を隠すことから名付けられたキャンペーンを特定しました。これはShodanを使用して、公開されたパッチ未適用のFlowise GenAIデプロイを見つけます。CVE-2024-58351 — Flowise 2.1.4より前の認証不要のコードインジェクション欠陥で、実行時のoverrideConfigリクエストパラメータがその単一リクエストのCustom JavaScript Functionノードのコードを置き換えるため、保存されたチャットフロー定義は変更されません。注入されたコードはホスト偵察を返し、クラウドメタデータサービスをプローブしてIAM資格情報を取得し、トークンを収集し、AWSリージョン横断でラテラルムーブメントを行います。Eraは「hello」のみのチャット履歴と約46の確認された影響を受けたデプロイ（約3,277のバージョン報告インスタンスのうち、703が認証なし）を観測しました；スキャンされた約3,000のFlowiseインスタンスの約90%がパッチ未適用のままです。
なぜ重要か
これは実戦でのAI主導キャンペーンであり、意図的に一時的なセルフホストAIオーケストレーションワークロードを、クラウドアカウント乗っ取りの静かな足がかりに変えます。Flowise（LLMエージェントビルダー）は2026年8月31日にWorkdayによって廃止され、リポジトリはアーカイブされたため、残りのセルフホストインスタンスはパッチを受け取らず、恒久的な露出になります。これは、GenAIプラットフォームを標的とした「AIインフラを初期足がかりとして」パターンを示しており、古典的なコンテナエスケープやDocker APIベクトルではなく、AIインフラを標的にしています。
攻撃経路
公開されたFlowiseの自動化されたShodan偵察；1つのリクエストで、ワークフローの権限でコードを実行するリクエストごとのJavaScriptオーバーライドペイロードを注入し、次にインスタンスメタデータからIAM/GCP資格情報をクエリしてクラウドアカウントに移動。
影響を受けるシステム
Flowise < 2.1.4 (廃止プロジェクト、2026年8月アーカイブ)；セルフホストおよびパッチ未適用フォーク
緩和策
Flowiseを2.1.4+にパッチ適用するか、移行/廃止（プロジェクトは廃止・未保守）；IMDSv2を強制し、過度に広範なインスタンスロールを削除；AIオーケストレーション周りの出力制限とネットワークセグメンテーションを実施；単語のみ（「hello」）のチャット入力と予期しないメタデータ呼び出しを監視。