Agentische KI-Ransomware nutzt Langflow-Schwachstelle CVE-2025-3248 aus

KI-Infrastruktur wird zum nächsten Ransomware-Ziel

Ein neu dokumentiertes Angriffsmuster verändert die Sichtweise von Sicherheitsteams auf Ransomware. Laut einem CISO Executive Briefing von Veracode haben Forscher etwas identifiziert, das sie als agentische Ransomware-Operation beschreiben – eine, bei der ein Large Language Model (LLM) die Ausnutzung einer Schwachstelle autonom vorantreibt, anstatt dass ein menschlicher Angreifer jeden Schritt manuell durchführt.

Die Schwachstelle, um die es hier geht, ist CVE-2025-3248, eine Sicherheitslücke in Langflow, einem Open-Source-Tool zum Erstellen und Orchestrieren von KI-Workflows. Statt einer traditionellen Angriffskette, bei der menschliche Bedrohungsakteure sich langsam vom Erstzugriff zur Lösegeldforderung vorarbeiten, zeigt diese Kampagne einen LLM-gesteuerten Prozess, der Ausnutzung, Anmeldeinformationssuche, laterale Bewegung und Datenvernichtung in rascher Abfolge durchführt. Das Ergebnis ist ein Angriff, der schneller abläuft, als herkömmliche Incident-Response-Pläne bewältigen können.

Im Inneren der Langflow-Angriffskette

Das Briefing beschreibt eine mehrstufige Sequenz, die mit der autonomen Ausnutzung der Langflow-Schwachstelle beginnt. Von dort aus geht es mit der Anmeldeinformationssuche weiter, die dem Angreifer eine Ausweitung des Zugriffs innerhalb der Umgebung ermöglicht. Die laterale Bewegung folgt, sodass die Operation weitere Systeme erreicht, die mit der kompromittierten KI-Infrastruktur verbunden sind.

Im Inneren zielt der Angriff direkt auf KI-Artefakte und Datenbanken ab, verschlüsselt diese und löscht zugehörige Tabellen, bevor eine Lösegeldforderung gestellt wird. Bemerkenswert ist, dass die KI-Infrastruktur selbst – die Modelle, Datensätze und unterstützenden Datenbanken, von denen Unternehmen zunehmend abhängen – als primäres Gut betrachtet wird, das als Geisel genommen wird. Für Unternehmen, die Produkte, Pipelines oder interne Werkzeuge auf Basis von KI-Frameworks aufgebaut haben, stellt dies eine direkte Bedrohung für die Betriebskontinuität dar und nicht nur ein Risiko der Datenoffenlegung.

Was diese Entwicklung für Datenschutz- und Sicherheitsexperten bedeutsam macht, ist die Verdichtung des Angriffszeitplans. Wenn ein LLM eigenständig Aufklärung, Ausnutzung und Erpressungsschritte verketten kann, schrumpft das Zeitfenster, das Verteidiger für Erkennung und Reaktion haben, erheblich. Es senkt zudem die technische Einstiegshürde für weniger erfahrene Akteure, komplexe, mehrstufige Erpressungskampagnen durchzuführen, die zuvor erfahrene menschliche Angreifer erforderten.

Warum Geschwindigkeit in der Lieferkette wichtiger denn je ist

Dieser Vorfall steht nicht isoliert da. Er spiegelt einen breiteren Trend wider: Automatisierung beschleunigt sowohl Angriffe als auch das Ausmaß von Kompromittierungen. Eine ähnliche Dynamik zeigte die Kampagne Megalodon-Angriff trifft 5.561 GitHub-Repos in sechs Stunden, bei der Angreifer automatisierte Werkzeuge nutzten, um innerhalb eines kurzen Zeitfensters Tausende bösartiger Code-Updates in eine riesige Zahl von Repositories zu pushen. Ob die Automatisierung durch missbräuchlich genutzte CI/CD-Pipelines entsteht oder durch ein LLM, das eigenständig eine Angriffskette ausführt – die grundlegende Lehre ist dieselbe: Verteidiger können nicht länger davon ausgehen, Tage oder Wochen für eine Reaktion zu haben, sobald ein Exploit verfügbar ist.

Diese Dringlichkeit rückt auch die grundlegenden Patch-Management-Praktiken wieder in den Fokus. Selbst wenn Angriffswerkzeuge ausgefeilter werden, beginnen viele dieser Kampagnen immer noch mit einer bekannten, veröffentlichten Schwachstelle, die in der Zielumgebung noch nicht gepatcht wurde. Das Ausmaß der jüngsten Patch-Zyklen, illustriert durch Microsofts eigenen Rekord von 570 behobenen Bugs in einem einzigen Update, zeigt, wie viel Arbeit Sicherheitsteams bewältigen müssen, nur um auf dem Laufenden zu bleiben. Organisationen, die KI-Frameworks wie Langflow einsetzen, müssen Sicherheitslücken in diesen Werkzeugen mit derselben Dringlichkeit behandeln, die traditionell der Kerninfrastruktur-Software vorbehalten ist.

Was das für Sie bedeutet

Wenn Ihre Organisation Langflow oder ähnliche KI-Orchestrierungswerkzeuge einsetzt, ist diese Entwicklung ein direkter Aufruf, den Patch-Status im Hinblick auf CVE-2025-3248 zu überprüfen und sicherzustellen, dass Anmeldeinformationsmanagement und Netzwerksegmentierungskontrollen rund um KI-Systeme vorhanden sind. Auch unabhängig von Langflow gilt die übergreifende Lehre: KI-Infrastruktur, einschließlich Modell-Repositories, Trainingsdatenbanken und Pipeline-Orchestrierungswerkzeuge, ist nun ein anerkanntes Ziel für Ransomware-Betreiber und sollte in dieselben Asset-Inventare, Backup-Strategien und Incident-Response-Pläne aufgenommen werden, die traditionelle Produktionssysteme abdecken.

Für einzelne Nutzer und kleinere Teams, die mit KI-Tools experimentieren, ist die Erkenntnis im Kleinen ähnlich. Jedes selbst gehostete KI-Tool sollte zeitnah aktualisiert, nur wo nötig exponiert und auf die gleiche Weise überwacht werden wie jeder internetgestützte Dienst.

Umsetzbare Handlungsempfehlungen

• Patchen Sie CVE-2025-3248 in jeder Langflow-Bereitstellung umgehend und verifizieren Sie das Update durch Ihren standardmäßigen Change-Management-Prozess.
• Erfassen Sie die gesamte KI-Infrastruktur, einschließlich Datenbanken, Modell-Artefakten und Orchestrierungswerkzeugen, und schließen Sie sie ausdrücklich in die Backup- und Disaster-Recovery-Planung ein.
• Verschärfen Sie das Anmeldeinformationsmanagement rund um KI-Systeme, da die Angriffskette stark auf die Anmeldeinformationssuche nach der anfänglichen Ausnutzung angewiesen ist.
• Segmentieren Sie KI-Infrastruktur von breiteren Unternehmensnetzwerken, um laterale Bewegung im Falle einer Kompromittierung einzuschränken.
• Überarbeiten Sie Incident-Response-Pläne, um schnellere, automatisierte Angriffszeitpläne zu berücksichtigen, anstatt von einem menschengetakteten Vorgehen des Angreifers auszugehen.

Agentische Ransomware ist noch eine junge Kategorie, aber die Geschwindigkeit und Autonomie, die in dieser Kampagne demonstriert wurden, machen deutlich, dass Sicherheitsteams sich jetzt anpassen müssen, anstatt zu warten, bis die Bedrohung weiter gereift ist. Aktuelle Patches einspielen, KI-Systeme segmentieren und KI-Infrastruktur als kritische Geschäftswerte behandeln – das sind praktische Schritte, die jede Organisation heute ergreifen kann.