7.000 servidores Langflow sob ataque; LangGraph e LangChain têm as mesmas falhas

Três frameworks de agentes de IA, LangGraph, Langflow e LangChain-core, viraram portas de entrada para ataques reais porque usam configurações padrão inseguras e tratam dados de entrada como confiáveis. O LangGraph permite execução remota de código ao carregar checkpoints em SQLite sem sanitização, permitindo que um atacante injete comandos Python via SQL injection. O Langflow, com login automático ativado por padrão, aceita uploads de arquivos sem validação de caminho, permitindo que um único request escreva um job cron em /etc/cron.d/ e abra uma shell sem autenticação. Já o LangChain-core lê arquivos de configuração de prompts sem bloquear caminhos absolutos, expondo chaves de API armazenadas em .env ou outros arquivos sensíveis. Nenhum desses bugs é novo, mas todos foram ignorados porque as equipes os consideraram ferramentas de desenvolvimento, não infraestrutura crítica.

A falha não está no código, mas na mentalidade: equipes de segurança ainda classificam esses frameworks como ‘ferramentas de prototipagem’ e não como componentes de produção com acesso a credenciais, bancos de dados e APIs internas. Isso cria uma brecha invisível para WAFs e EDRs, que não monitoram o comportamento interno de bibliotecas importadas. O que antes era um risco teórico agora é uma realidade: 7.000 instâncias do Langflow já estão sendo exploradas, e os atacantes estão usando as mesmas técnicas clássicas, path traversal, SQLi, deserialização insegura, contra a nova camada de infraestrutura de IA.

Esses ataques não são sobre IA avançada. São sobre infraestrutura mal configurada que agora executa decisões de negócio em tempo real. Um agente comprometido não apenas rouba chaves de API, ele as usa para alterar dados de CRM, disparar pagamentos, ou ajustar preços com base em entradas manipuladas. A consequência não é um vazamento de dados, mas uma decisão corporativa errada tomada por máquina, sem intervenção humana. Empresas que não mapeiam esses frameworks como ativos críticos correm o risco de ter um incidente de segurança que parecerá um erro de negócio. O custo não está na correção do patch, mas no tempo que leva para descobrir que o agente que gerou o relatório de vendas foi infectado há semanas.