【CNMO 科技消息】近日，IBM 旗下 AI 构建平台 Langflow 被曝出严重安全漏洞。因默认配置存在致命缺陷，未经身份验证的攻击者可远程执行任意代码。美国网络安全和基础设施安全局（CISA）已将该漏洞列入 " 已知遭利用漏洞 " 目录，敦促相关机构尽快修复。

IBM

据 CNMO 科技了解，Langflow 是一个跨平台（支持 Linux、Windows、macOS）的 AI 智能体构建工具，采用拖拽式图形界面，让用户无需编程即可快速搭建智能体工作流。

IBM 官方指出，该漏洞由两处缺陷形成攻击链：Langflow 默认部署中的自动登录接口会向任何访问者发放超级管理员令牌；攻击者获取权限后，可利用代码验证接口向服务器提交并执行任意 Python 代码，从而完全接管服务器甚至渗透内网。

Langflow

针对该漏洞，IBM 建议用户立即升级至 1.10.1 或更高版本（最新版为 1.11.2）。自 7 月 17 日漏洞细节公开以来，攻击者已迅速将矛头指向那些未更改默认配置的部署系统。

值得注意的是，尽管平台所有权几经变更，但这一关键缺陷依然流入了生产版本。因此，此次安全事件不应被简单归咎于无代码工具本身的安全漏洞，它实则揭示了一个典型的行业痛点：不安全的默认配置部署，往往才是引发灾难性安全事件的罪魁祸首。

版权所有，未经许可不得转载