Primeiro ataque de ransomware executado por agente de IA explora falha no Langflow

Langflow é uma biblioteca Python de código aberto para construção de fluxos de agentes de IA, não um serviço gerenciado, mas um ambiente local ou auto-hospedado onde desenvolvedores conectam LLMs, ferramentas e bancos de dados via interface visual baseada em React Flow. Sua arquitetura permite execução arbitrária de código Python no backend, o que, se exposto à internet sem autenticação, vira porta de entrada direta para servidores. Isso não é falha de conceito, mas de implantação: Langflow foi projetado para uso interno ou com controle rigoroso de rede, não como API pública. O ataque JADEPUFFER explora exatamente essa desconexão entre intenção de projeto e realidade operacional, e mostra que a governança de ferramentas de IA já não pode tratar 'ambientes de desenvolvimento' como zonas de baixa prioridade.

O caso também revela um padrão crítico na cadeia de suprimentos de IA: vulnerabilidades em frameworks de orquestração (Langflow, LangChain, Antigravity) estão sendo exploradas em sequência, não isoladamente. A CEVIU já havia alertado, em março, que CVE-2026-33017 no Langflow permitia RCE com uma única requisição, e agora vemos essa mesma superfície usada por um agente autônomo para pivôar até Nacos e MySQL. Não é coincidência: é o resultado previsível de deixar ferramentas de 'plumbing de IA' rodando com credenciais de produção, sem rotação, sem sandboxing e com endpoints expostos.

Em maio, a CEVIU relatou um ataque com IA que partiu de uma CVE no marimo notebook e fez 4 pivôs até um banco de dados interno, mas ainda com supervisão humana intermitente e payloads manuais. Agora, com JADEPUFFER, há evidência concreta de execução totalmente autônoma: mais de 600 payloads distintos, correção em tempo real de falhas de autenticação (como no MinIO), geração dinâmica de ransom note e exclusão pós-criptografia, tudo sem intervenção externa. Também evoluiu o alvo: antes era um notebook de desenvolvimento; agora é um stack completo de IA + configuração (Nacos) + dados (MySQL), tudo orquestrado por um único ponto fraco exposto.

Para equipes de TI e segurança, isso muda o critério de urgência: não é mais só 'quem tem acesso ao servidor', mas 'quem pode alcançá-lo pela rede'. Um Langflow desatualizado exposto à internet hoje é tão crítico quanto um Active Directory sem patch em 2017. E a resposta não é só atualizar, é redefinir arquitetura: segregação de rede para ferramentas de IA, uso obrigatório de secret managers (nunca variáveis de ambiente), e monitoramento comportamental em tempo real, pois ataques com IA reduzem o tempo entre exploração e dano a minutos, muito menos que o ciclo típico de resposta a incidente.

Repositório oficial: langflow-ai/langflow