事件背景：從重大漏洞升高為立即風險
Langflow 是用視覺化介面建構 AI 代理、檢索增強生成（RAG）與自動化流程的開源平台，目前由 IBM 旗下 DataStax 體系持有，並可與 watsonx.ai 整合。它降低了串接模型、資料庫與工具的門檻，但這次事件也顯示：愈容易部署、權限愈接近實際系統的 AI 工作流平台，一旦身分驗證與程式碼執行機制同時失守，便可能成為直接入侵主機的捷徑。
《The Register》報導，美國網路安全暨基礎設施安全局（CISA）已因發現實際利用證據，把 CVE-2026-9198 納入「已知遭利用漏洞」（KEV）目錄。受影響範圍是 Langflow OSS 1.0.0 至 1.10.0，IBM 要求升級至 1.10.1；報導刊出時的較新版為 1.11.2。原始報導：https://www.theregister.com/security/2026/08/05/ibms-agentic-ai-platform-is-under-active-attack-patch-now/5283535
漏洞如何運作：兩個功能串成完整攻擊鏈
這不是單一 API 的小疏漏，而是兩項設計被串接後形成未經授權的遠端程式碼執行。第一步，預設開啟自動登入的部署中，/api/v1/auto_login 會向任何能連上服務的呼叫者核發超級使用者權杖；第二步，攻擊者拿著該權杖呼叫 /api/v1/validate/code，提交惡意 Python 程式碼。IBM 說明，驗證器會在定義函式時執行裝飾器、預設參數或型別註記，因而可觸發主機上的任意命令。
這套機制已由 IBM 官方安全公告與美國國家漏洞資料庫（NVD）交叉確認。IBM 將其列為 CWE-94 程式碼注入，CVSS 3.1 基礎分數為 9.8；向量顯示攻擊可由網路發動、複雜度低、不需既有權限，也不需使用者互動。IBM 公告：https://www.ibm.com/support/pages/security-bulletin-unauthenticated-remote-code-execution-auto-login-bypass-and-code-validation；NVD 紀錄：https://nvd.nist.gov/vuln/detail/CVE-2026-9198
為何現在特別值得注意
來源可確認的事實是：漏洞已公開、IBM 沒有列出替代性暫解措施，且《The Register》引述 CISA 指已有主動利用。CISA 對 KEV 的定位，是收錄已在真實環境遭利用、應納入漏洞修補優先序的項目，而不是只憑理論風險排名；其目錄說明可見：https://www.cisa.gov/known-exploited-vulnerabilities-catalog
合理推論則是，公開可取得的概念驗證會進一步壓縮防守時間。義大利 Veneto 地區 CERT 在 7 月 22 日已通報 CVE-2026-9198 的公開 PoC：https://cert.regione.veneto.it/alert。PoC 公開不等於每個可連線實例都已遭入侵，但代表攻擊者不必自行從零研究漏洞；當利用鏈只需網路可達性且不需帳密，網路掃描與批次嘗試的門檻相當低。
實際影響不只是一台開發伺服器
已證實的直接影響，是攻擊者能以 Langflow 服務程序的作業系統權限執行程式碼，破壞資料機密性、完整性與可用性。至於是否已發生特定資料外洩、勒索或橫向移動，現有來源並未提供規模、受害者、攻擊者身分或入侵指標，不能把「可能造成」寫成「已經發生」。
不過從架構上合理判斷，AI 工作流服務常需存取模型 API、向量資料庫、企業文件或後端應用。若這些憑證可被 Langflow 程序讀取，取得相同程序權限的攻擊者也可能接觸它們；實際損害半徑仍取決於服務帳號權限、祕密存放方式、網路分段、容器限制與對外連線政策。這也是本事件不同於一般展示型網站漏洞之處：遭接管的可能是整個資料與工具連接層。
容易忽略的限制與處置盲點
首先，「預設部署」是重要條件，不代表所有 Langflow 實例都能以相同方式利用；仍須確認自動登入是否啟用，以及驗證端點能否由不受信任網路存取。其次，關閉對外連線或加上閘道可降低暴露面，卻不能取代官方修補，因為 IBM 明確表示沒有受支援的 workaround。最後，完成升級也不等於事件結束：如果主機在修補前曾經暴露，應按可能失陷處理，而非只看目前版本號。
對台灣企業的意義
台灣企業真正的難題可能不是正式上線的 AI 系統，而是研發、資料團隊或外包廠商快速建立、未納入資產清冊的測試實例。低程式碼介面容易讓使用者誤以為它只是開發工具，但只要服務具備執行 Python、讀取祕密與連接內網的能力，管理標準就應接近 CI/CD 執行器或自動化平台，而不是一般 SaaS 前台。
- 立即盤點裸機、虛擬機、容器、Kubernetes 與雲端測試環境中的 Langflow，確認實際版本及網路暴露情形。
- 將 1.0.0 至 1.10.0 升級至至少 1.10.1，並優先採用經內部測試的最新安全版本。
- 檢查對
/api/v1/auto_login與/api/v1/validate/code的歷史請求、異常程序、檔案變更及對外連線。 - 若實例曾對外開放，輪替模型、資料庫、雲端與其他後端憑證，並檢查相連系統的存取紀錄。
- 以最小權限執行服務，限制容器掛載、內網可達範圍與非必要的對外連線。
後續觀察指標
接下來應關注 CISA 是否公布更具體的攻擊手法或入侵指標、IBM 是否更新公告與受影響範圍、Langflow 後續版本是否改變預設登入及動態程式碼驗證設計，以及企業能否找出未受管控的 AI 工作流實例。作者觀點是：這起事件最重要的訊號，不只是「再修一個重大 CVE」，而是 AI 開發平台已成為具身分、憑證、資料與執行能力的基礎設施；若資產管理與權限治理仍把它視為短期實驗工具，真正的風險會落在看不見、也來不及修補的那一批部署上。