文章摘要
近期，三款全球部署量高的AI代理开发框架被曝存在SQL注入与RCE等漏洞，攻击者可借此获取服务器权限、泄露敏感信息。如Langflow、LangGraph、LangChain - core均有漏洞被利用或公开利用代码。传统安全工具难检测此类风险，企业需自查并及时升级修复。

你的AI代理工具看似按照设计正常运行，但底层的开发框架却可能给攻击者打开服务器权限的大门，让其轻松获取你的各类API密钥、数据库凭证以及CRM系统的访问令牌。这并非危言耸听，近几个月来，三款全球部署量极高的AI代理开发框架，接连被曝出可通过普通的经典安全漏洞实现远程代码执行，攻击者无需定制化恶意软件或零日漏洞，就能利用这些框架的设计缺陷发起攻击。

据行业安全研究团队披露，这三类攻击链本质上都是常见的Web安全问题：SQL注入、路径遍历以及不安全反序列化，却在AI代理框架的场景下被放大。其中，安全研究人员证实，攻击者可以通过SQL注入篡改代理的状态存储，结合反序列化漏洞执行任意代码；也可以通过未授权的文件上传路径遍历漏洞，写入恶意计划任务获取服务器权限；还可以通过提示加载接口的路径遍历，直接读取服务器上的敏感配置文件，泄露各类API密钥。

正在被野外利用的Langflow路径遍历漏洞

作为今年第三款被曝出且已在野外被利用的Langflow安全漏洞，该高危漏洞CVSS评分为8.8。该漏洞源于文件上传接口未对上传的文件名进行路径遍历过滤，攻击者可以构造包含跳转序列的文件名，将恶意文件写入服务器的任意位置，比如系统计划任务目录。更危险的是，Langflow的默认配置开启了自动登录，攻击者无需任何认证凭证，仅需一次HTTP请求就能完成文件写入，等待计划任务执行后即可获取服务器shell权限。

安全团队监测显示，截至6月8日，已有超过7000个暴露在公网的Langflow实例被攻击者扫描利用，其中北美地区的实例占比最高。早在今年5月，另一款Langflow漏洞就被伊朗国家支持的黑客组织武器化，并被美国监管机构纳入已知被利用漏洞目录。本次漏洞的补丁版本发布于4月15日，但攻击活动直到6月才大规模出现，这意味着两个月内所有未及时打补丁的实例都处于暴露状态。安全专家提醒，企业的补丁升级周期应该从漏洞披露日开始计算，而非等待监管机构收录后再行动。

LangGraph：从SQL注入到Python shell的完整攻击链

作为本季度企业部署量最高的AI代理框架之一，LangGraph通过检查点组件为AI代理提供状态持久化能力，月下载量超过5000万次。安全研究团队拆解其检查点模块后，发现了三个可串联的高危漏洞，其中两个可直接实现远程代码执行。

第一个漏洞是SQL注入漏洞，在构建检查点查询的WHERE子句时，未对用户可控的过滤参数进行参数化处理或转义，直接拼接进SQL语句中。当企业使用自托管的SQLite或Redis检查点，且未限制未授权输入访问历史查询接口时，攻击者可以通过构造恶意过滤参数，在检查点表中写入伪造的行数据。如果企业使用托管的企业级平台，则不会受到该漏洞影响。

第二个漏洞则完成了攻击链的最后一环：LangGraph的序列化解码器在从存储数据重建Python对象时，支持导入模块并调用攻击者指定的函数，包括系统命令执行接口。结合SQL注入获取的检查点写入权限，攻击者可以将伪造的检查点数据加载进系统，触发解码器执行恶意代码，以代理服务器的身份运行任意命令。此外还有另一款漏洞可通过Redis检查点实现同样的攻击效果。截至目前，尚未有该漏洞在野外被利用的公开报告，但相关的漏洞利用代码已经公开。目前官方已发布对应的版本升级补丁。

LangChain-core：提示加载接口导致的任意文件读取

作为前两款框架的底层依赖框架，LangChain-core曝出了路径遍历漏洞，属于传统的Web安全风险。该框架的提示加载函数会直接从配置字典中读取文件路径，未对路径遍历序列或绝对路径进行校验，攻击者可以通过可控的路径参数，读取服务器上任意进程有权限访问的文件，比如存储了各类API密钥的配置文件。

安全研究团队还将该漏洞与另一款反序列化漏洞结合，进一步扩大了攻击影响。两个漏洞的补丁版本存在差异，企业需要同时升级到两个修复版本，否则仍可能存在高风险的漏洞未被修复。这三个漏洞都属于经典的Web安全问题，并非AI领域特有的新型风险，却随着AI代理框架的快速普及，成为企业生产环境中的重大安全隐患。这类风险并非出现在大模型本身，而是存在于AI与企业基础设施结合的中间层。

传统安全工具的检测盲区

多位安全行业资深人士指出，这类安全风险不会以“AI风险”的形式被企业安全团队感知，而是会表现为传统安全程序的失效。比如，一个暴露在公网的AI框架实例，看起来只是一个普通的未授权服务器，其告警也会被当成普通的Web攻击事件处理，而非AI相关的风险。

漏洞的藏身之处在于代码导入的第三方框架中，传统的Web应用防火墙只能检测边缘的HTTP流量，无法识别深层的框架内部的调用；终端检测工具也只会将代理服务器的系统调用当成常规操作放行，因为这些调用与正常的业务流程并无明显差异。大多数企业安全团队并未将第三方AI开发框架的内部逻辑纳入可信边界的管控范围，这正是所有攻击链的核心盲区，且随着框架的快速部署，这个盲区还在不断扩大。

根源问题其实早于AI时代就存在：多数新上线的框架都会使用不安全的默认配置，比如默认开启自动登录、未对接口权限做校验。如果不从第一天就构建认证和最小权限原则，企业将在未来持续面临这类安全漏洞带来的风险。此外，治理层面的缺失也是重要诱因：企业团队往往为了开发效率快速部署AI框架，授予其数据库和API的访问权限，却未将这些框架纳入正式的安全管理流程，形成了新的影子IT问题。

市场的动向也印证了这个领域的安全需求正在快速增长：知名终端安全厂商的AI检测与响应业务收入同比大幅增长，并宣布将其检测覆盖范围扩展至云平台上的代理、大模型和AI代理框架流量，专门针对这类中间层的安全风险提供防护。

面向董事会的风险汇报思路

向董事会汇报时，无需纠结具体的漏洞编号，而是要聚焦业务影响。大多数企业安全团队已经能够梳理技术层面的攻击影响范围，但往往忽略了业务层面的损失：比如当AI引擎基于被篡改的数据触发业务决策时，造成的并非只是一次安全事件，而是以机器速度执行的错误业务结果。而AI代理框架的远程代码执行漏洞，则会让攻击者直接利用框架的权限，在生产系统中执行未授权操作，导致业务出现无法解释的异常。

正确的汇报逻辑应该是：我们目前在生产环境中运行的主流AI代理开发框架，可被普通的未被传统扫描器检测到的漏洞利用，获取服务器权限并泄露所有敏感凭证；其中一款框架已经在野外被大规模攻击，所有框架都已经发布了官方补丁；我们将在规定时间内完成所有实例的验证和修复，整个过程无需大规模重构架构，仅需版本升级和配置调整即可完成。

企业自查六步检查表

以下是针对AI代理框架安全的六个核心信任边界自查问题，涵盖从技术验证到业务风险的全流程：

信任边界问题 风险场景 漏洞根源 前置验证方法 修复方案 董事会汇报话术
1. 代理的状态存储是否可被恶意代码污染？ LangGraph的SQL注入到RCE链，已有公开PoC但暂未发现野外利用 过滤参数直接拼接进SQL语句，伪造的检查点数据触发解码器执行恶意函数 检查框架版本，确认历史查询接口未暴露给未授权网络输入 升级对应框架至官方修复版本 “我们的代理内存存储可能被攻击者利用执行恶意代码，厂商已发布补丁，我们将完成升级并验证接口暴露情况”
2. 未授权请求是否可向代理服务器写入文件？ Langflow高危漏洞，已被大规模野外利用，数千个公网暴露实例 文件上传接口未过滤路径遍历字符，默认开启自动登录 扫描公网中的相关AI框架实例，检查自动登录配置 升级框架版本，关闭自动登录，将工具置于访问控制后 “我们的AI开发工具公网暴露且未开启登录，该漏洞已被大规模利用，我们将立即将其置于访问控制后”
3. 提示加载接口是否可读取不应访问的文件？ LangChain-core路径遍历漏洞，可读取配置文件中的API密钥 加载函数未校验路径参数，直接读取任意文件 检查框架版本，审计用户可控路径的加载调用 升级框架版本，使用白名单目录替代原加载逻辑 “我们的提示加载系统可能被利用读取API密钥，我们将完成补丁升级并移除遗留加载接口”
4. 被攻陷的框架是否会一次性泄露所有凭证？ AI代理框架通常部署在包含各类密钥的环境中，单次RCE即可泄露全量敏感数据 单一点突破即可获取全量凭证，而非单一应用权限 盘点框架进程可访问的敏感凭证，确认密钥来源 迁移密钥至机密管理服务，轮换并收紧密钥权限 “单次AI框架被攻陷即可泄露所有关联的模型和数据存储密钥，我们将立即轮换并收紧密钥权限”
5. 这些框架是否运行在安全治理之外？ 此前同类漏洞被黑客组织武器化，影子AI已成为新的影子IT风险 团队快速部署框架未纳入安全管理，安全团队无法感知未审批的部署 扫描未纳入变更管理的AI框架实例，分配负责人 为每个框架指定正式负责人，纳入审批流程 “我们的生产环境中存在未正式审批的AI框架，我们将将其纳入安全治理流程而非直接禁止”
6. 扫描工具是否能检测框架内部的风险？ 当前运行时安全工具正在覆盖该领域，云防护已扩展至AI代理流量 传统安全工具无法识别框架内部逻辑，未将其作为独立可信边界 测试扫描工具是否覆盖第三方框架依赖，按依赖跟踪CVE 将框架依赖纳入漏洞管理，从披露日启动补丁流程 “我们的扫描工具仅检测自有代码而非导入的框架依赖，我们将关闭这个盲区并从披露日开始启动补丁”

表格说明：每一行对应一个核心信任边界，从需要自查的问题出发，逐步覆盖风险场景、漏洞根源、验证方法、修复方案以及面向董事会的汇报话术。

设定修复期限而非纠结技术细节

所有的修复方案都无需大规模重构架构，仅需版本升级和少量配置调整即可在短时间内完成。当前企业面临的最大风险是补丁发布到补丁落地之间的时间差，目前这个时间差往往以月为单位。这些AI代理框架确实按照设计完成了快速开发和部署的目标，但安全管控的缺失让它们成为了攻击者的突破口。企业需要立即行动，在最短时间内完成所有框架的安全校验和修复，避免成为下一个攻击目标。

你的AIGC知识价值，正在被看见！塔猴AI达人星火计划，发布课程，赢现金激励！点击加入活动：https://www.tahou.com/article/206587263682970629

AI生成内容提示：本文由人工智能辅助创作，内容仅供参考，不代表平台观点。请注意核实信息的准确性，并理性判断。

以上内容不代表本平台立场，仅供读者参考