무슨 일이 있었나
Era Security 연구원들은 (로그에 'hello' 메시지를 남겨 흔적을 숨기는 데서 이름 붙여진) 캠페인을 식별했으며, Shodan을 사용하여 공개적으로 노출되고 패치되지 않은 Flowise GenAI 배포 환경을 찾습니다. 이는 CVE-2024-58351을 악용합니다 — Flowise 2.1.4 이전 버전의 인증 없는 코드 주입 결함으로, 런타임 overrideConfig 요청 매개변수가 해당 단일 요청에 대해 사용자 정의 JavaScript Function 노드의 코드를 대체하므로, 저장된 chatflow 정의는 수정되지 않습니다. 주입된 코드는 호스트 정찰을 수행하고, 클라우드 메타데이터 서비스를 탐색하여 IAM 자격 증명을 찾고, 토큰을 수집한 후 AWS 리전 간에 측면 이동합니다. Era는 'hello'만 있는 채팅 기록과 약 46개의 확인된 피해 배포 환경(버전을 보고한 약 3,277개 인스턴스 중 703개는 인증이 없었음)을 관찰했습니다; 스캔된 약 3,000개 Flowise 인스턴스의 약 90%가 여전히 패치되지 않았습니다.
왜 중요한가
이는 의도적으로 일시적인 자체 호스팅 AI 오케스트레이션 워크로드를 조용한 클라우드 계정 탈취 교두보로 전환하는 실제 현장 AI 주도 캠페인입니다. Flowise(LLM 에이전트 빌더)는 2026-08-31에 Workday에 의해 폐기되고 저장소가 아카이브되었으므로, 남은 자체 호스팅 인스턴스는 패치를 받지 못하고 영구적인 노출이 됩니다. 이는 클래식 컨테이너 탈출이나 Docker-API 벡터보다 GenAI 플랫폼을 표적으로 삼는 'AI 인프라를 초기 침투 지점으로 사용' 패턴을 보여줍니다.
공격 경로
노출된 Flowise에 대한 자동화된 Shodan 정찰; 하나의 요청으로 워크플로 권한으로 코드를 실행하는 요청별 JavaScript 오버라이드 페이로드를 주입한 후, 인스턴스 메타데이터에서 IAM/GCP 자격 증명을 조회하고 클라우드 계정으로 측면 이동합니다.
영향받는 시스템
Flowise < 2.1.4 (폐기된 프로젝트, 2026년 8월 아카이브됨); 자체 호스팅 및 패치되지 않은 포크
완화 방안
Flowise를 2.1.4+로 패치하거나 마이그레이션/폐기(프로젝트 폐기 및 유지보수 중단); IMDSv2 적용 및 과도한 인스턴스 역할 제거; AI 오케스트레이션 주변의 송신 제한 및 네트워크 분리; 단어 하나('hello') 채팅 입력 및 예상치 못한 메타데이터 호출 모니터링.