AI開発基盤LangflowにCISAが緊急パッチ指示
- AIエージェント構築フレームワークLangflowにIDOR(認可バイパス)脆弱性が発見された
- 攻撃者は他ユーザーのフローにアクセスし、LLM APIキーやクラウド認証情報を窃取していたとされる
- CISAはKEVカタログに追加し、連邦機関に緊急パッチ適用を指示した
かんたんに言うと
AIを組み立てるための人気ツール「Langflow」に、他人の設定を盗み見られる欠陥が見つかり、実際に悪用されました。使っている企業はすぐに最新版へ更新する必要があります。
AIセキュリティとの関連: AIエージェント開発基盤の脆弱性が実際に悪用され、LLM鍵やクラウド認証情報が狙われた実例のため。
何が起きたか
米CISAは2026年7月8日、AIエージェント構築ツール「Langflow」の認可バイパス脆弱性(CVE-2026-55255)を悪用済み脆弱性カタログ(KEV)に追加し、連邦機関に金曜日までのパッチ適用を指示した。Langflowはドラッグ&ドロップでAIパイプラインを構築できる人気の開発フレームワークで、REST API経由でも実行できる。この脆弱性はIDOR(Insecure Direct Object Reference:アクセス権のないデータに直接アクセスできてしまう欠陥)に分類され、認証済みの攻撃者が被害者のUUID(flow_id)を含む細工したリクエストを「/api/v1/responses」エンドポイントに送ることで、他ユーザーのフローに不正アクセスできる。セキュリティ企業Sysdigの脅威分析チームは6月25日に実際の悪用を初めて観測したと報じられている。侵入後はコード実行や第2段階のマルウェア(ローダー・ドロッパー)配布が確認されたという。
誰に・どう影響するか
大企業では、社内でLangflowを使った複数のAIエージェントやパイプラインを運用しているケースが多く、認証情報や機密データを扱うフローが第三者に閲覧される恐れがある。特にLLM APIキーやクラウド認証情報が窃取されると、二次被害としてなりすましや不正利用のコストが発生し得る。中小企業では、外部公開されたLangflow環境を十分な監視体制なしに運用している場合、侵害の発見が遅れるリスクがある。Sysdigの分析によれば、攻撃者は金銭目的で、侵害したAIホストの計算資源(ボットネット化)と認証情報(LLM・クラウド鍵の窃取)の両方を狙う、比較的簡易な手法を用いているとされる。
今すぐやるべきアクション
- Langflowを利用している場合、公式の修正版へ直ちにアップデートする
- インターネットに公開されているLangflow環境の有無を棚卸しし、不要な公開を停止する
- LLM APIキーやクラウド認証情報のローテーション(定期更新)を実施する
- 過去のアクセスログを確認し、不審な/api/v1/responsesへのリクエストがないか調査する
- 関連する他のLangflow脆弱性(CVE-2025-3248、CVE-2026-33017、CVE-2026-5027)の対応状況も併せて確認する
重大度の判定理由
重大度「緊急」: CISAが悪用確認済みとしてKEV登録し、連邦機関に即時パッチを義務付けたため。