Agentisk AI-ransomware udnytter Langflow-sårbarheden CVE-2025-3248

AI-infrastruktur bliver det næste ransomware-mål

Et nyligt dokumenteret angrebsmønster ændrer måden, sikkerhedsteams tænker på ransomware. Ifølge en CISO Executive Briefing fra Veracode har forskere identificeret, hvad de beskriver som en agentisk ransomware-operation, hvor en stor sprogmodel (LLM) selvstændigt driver udnyttelsen af en sårbarhed i stedet for at en menneskelig operatør manuelt arbejder sig gennem hvert trin.

Sårbarheden i centrum for denne aktivitet er CVE-2025-3248, en fejl i Langflow, et open source-værktøj, der bruges til at bygge og orkestrere AI-arbejdsgange. I stedet for en traditionel angrebskæde, hvor menneskelige trusselsaktører bevæger sig langsomt fra initial adgang til løsepengekrav, viser denne kampagne en LLM-drevet proces, der håndterer udnyttelse, legitimationsopdagelse, lateral bevægelse og datatilintetgørelse i hurtig rækkefølge. Resultatet er et angreb, der bevæger sig hurtigere, end konventionelle incident response-spillebøger er bygget til at håndtere.

Inde i Langflow-angrebskæden

Briefingen skitserer en flertrinssekvens, der begynder med autonom udnyttelse af Langflow-sårbarheden. Derfra fortsætter operationen med legitimationsopdagelse, hvilket giver angriberen mulighed for at udvide adgangen i miljøet. Lateral bevægelse følger, så operationen kan nå yderligere systemer, der er forbundet med den kompromitterede AI-infrastruktur.

Når angrebet er inde, retter det sig direkte mod AI-artefakter og databaser, krypterer dem og sletter tilknyttede tabeller, inden der fremsættes et løsepengekrav. Dette er bemærkelsesværdigt, fordi det behandler selve AI-infrastrukturen – modeller, datasæt og understøttende databaser, som organisationer i stigende grad er afhængige af – som det primære aktiv, der er værd at tage som gidsel. For virksomheder, der har bygget produkter, pipelines eller interne værktøjer oven på AI-frameworks, repræsenterer dette en direkte trussel mod driftskontinuiteten og ikke kun en risiko for dataeksponering.

Det, der gør denne udvikling betydningsfuld for fagfolk inden for privatliv og sikkerhed, er komprimeringen af angrebstidslinjen. Når en LLM uafhængigt kan kæde rekognoscering, udnyttelse og afpresningstrin sammen, mindskes det vindue, forsvarere har til at opdage og reagere, betragteligt. Det sænker også den tekniske barriere for mindre sofistikerede aktører til at gennemføre komplekse, flertrins afpresningskampagner, der tidligere krævede erfarne menneskelige operatører.

Hvorfor forsyningskædehastighed betyder mere end nogensinde

Denne hændelse eksisterer ikke isoleret. Den afspejler en bredere tendens, hvor automatisering accelererer både angreb og omfanget af kompromittering. En lignende dynamik udspillede sig i kampagnen Megalodon-angreb rammer 5.561 GitHub-repos på seks timer, hvor angribere brugte automatiserede værktøjer til at skubbe tusindvis af ondsindede kodeopdateringer på tværs af et enormt antal repositories i et enkelt kort vindue. Uanset om automatiseringen kommer fra misbrug af scriptede CI/CD-processer eller fra en LLM, der uafhængigt udfører en angrebskæde, er den underliggende lektie den samme: forsvarere kan ikke længere antage, at de har dage eller uger til at reagere, når en exploit bliver tilgængelig.

Denne hast understreger også på ny vigtigheden af grundlæggende patch management. Selvom angrebsværktøjer bliver mere sofistikerede, starter mange af disse kampagner stadig med en kendt, offentliggjort sårbarhed, der endnu ikke er patchet i målmiljøet. Omfanget af de seneste patchcyklusser, illustreret af Microsofts egen rekordmange 570 fejl rettet i en enkelt opdatering, viser, hvor meget terræn sikkerhedsteams skal dække bare for at holde sig ajour. Organisationer, der kører AI-frameworks som Langflow, skal behandle sårbarhedsmeddelelser i disse værktøjer med samme hast som traditionelt forbeholdt kerneinfrastruktursoftware.

Hvad dette betyder for dig

Hvis din organisation bruger Langflow eller lignende AI-orkestreringsværktøjer, er denne udvikling en direkte opfordring til at kontrollere patch-status mod CVE-2025-3248 og bekræfte, at der er styr på legitimationsstyring og netværkssegmentering omkring AI-systemer. Også uden for Langflow specifikt gælder den bredere lektie: AI-infrastruktur, herunder modelrepositories, træningsdatabaser og pipeline-orkestreringsværktøjer, er nu et anerkendt mål for ransomware-operatører, og det bør inkluderes i de samme aktivregistre, backupstrategier og incident response-planer, der dækker traditionelle produktionssystemer.

For individuelle brugere og mindre teams, der eksperimenterer med AI-værktøjer, er konklusionen den samme i mindre skala. Ethvert selv-hostet AI-værktøj bør opdateres straks, kun eksponeres hvor nødvendigt og overvåges på samme måde, som du ville overvåge enhver internetvendt tjeneste.

Praktiske handlingspunkter

• Patch CVE-2025-3248 i enhver Langflow-deployment øjeblikkeligt, og verificer opdateringen gennem din standard change management-proces.
• Lav en fortegnelse over al AI-infrastruktur, herunder databaser, modelartefakter og orkestreringsværktøjer, og inkludér dem eksplicit i backup- og disaster recovery-planlægning.
• Stram legitimationsstyringen omkring AI-systemer, da angrebskæden i høj grad er afhængig af legitimationsopdagelse efter den initiale udnyttelse.
• Segmentér AI-infrastruktur fra bredere virksomhedsnetværk for at begrænse lateral bevægelse, hvis et kompromis opstår.
• Gennemgå incident response-spillebøger for at tage højde for hurtigere, automatiserede angrebstidslinjer i stedet for at antage menneskelig-tempo adfærd fra modstandere.

Agentisk ransomware er stadig en ny kategori, men den hastighed og autonomi, der blev demonstreret i denne kampagne, gør det klart, at sikkerhedsteams er nødt til at tilpasse sig nu i stedet for at vente på, at truslen modnes yderligere. At holde sig ajour med patches, segmentere AI-systemer og behandle AI-infrastruktur som kritiske forretningsaktiver er praktiske skridt, enhver organisation kan tage i dag.