“Greeter”活动利用Flowise CVE-2024-58351大规模攻陷云AI工作负载

Era Security研究人员识别出一个活动（因日志中植入“hello”消息以隐藏踪迹而得名），该活动使用Shodan查找公开暴露、未修补的Flowise GenAI部署。它利用了CVE-2024-58351——Flowise 2.1.4之前版本中的未认证代码注入缺陷，其中运行时overrideConfig请求参数可在单次请求中替换Custom JavaScript Function节点的代码，因此已保存的聊天流定义从未被修改。注入的代码返回主机侦察、探测云元数据服务以获取IAM凭证、窃取令牌，然后在AWS区域间横向移动。Era观察到仅有“hello”的聊天历史和约46个确认受影响的部署（在约3,277个报告版本的实例中，703个无认证）；约3,000个扫描的Flowise实例中约90%仍未修补。

这是一场野外AI驱动的活动，将本应临时性的自托管AI编排工作负载转变为云账户接管的安静桥头堡。Flowise（LLM代理构建器）已于2026-08-31被Workday退役，仓库已归档，因此剩余的自托管实例无法获得补丁，成为永久暴露。它展示了针对GenAI平台而非经典容器逃逸或Docker-API向量的“AI基础设施作为初始立足点”模式。

对暴露的Flowise进行自动化Shodan侦察；一个请求注入每请求JavaScript覆盖载荷，以工作流特权运行代码，然后查询实例元数据以获取IAM/GCP凭证并进入云账户。

Flowise < 2.1.4（已退役项目，2026年8月归档）；自托管和未修补的分支

修补Flowise至2.1.4以上版本或迁移/退役（项目已退役且无人维护）；强制使用IMDSv2并移除过宽的实例角色；限制AI编排的出站流量和网络分段；监控单字（“hello”）聊天输入和意外元数据调用。