Introduzione
L’intelligenza artificiale è sempre più presente nelle aziende e nei servizi digitali, spesso sotto forma di “agenti” automatizzati capaci di eseguire compiti complessi. Come ogni software, però, anche questi strumenti possono contenere vulnerabilità gravi. Un caso recente riguarda Flowise, una piattaforma molto diffusa per costruire agenti basati su AI, colpita da una falla di sicurezza di massima gravità.
Cosa è successo
Flowise è uno strumento open source che permette a sviluppatori e aziende di creare agenti AI in modo visuale, senza scrivere grandi quantità di codice. Nelle versioni comprese tra la 2.2.7-patch.1 e la 3.0.5, i ricercatori hanno scoperto una vulnerabilità critica, classificata con il codice CVE-2025-59528 e valutata con un punteggio di gravità massimo, 10.0 su 10, secondo la scala CVSS.
Il problema risiede in un componente chiamato CustomMCP node, e più precisamente in una funzione interna denominata convertToValidJSONString. Questa funzione, invece di trattare i dati inseriti dagli utenti come semplice testo, li eseguiva come codice JavaScript reale, senza alcun controllo o validazione. In pratica, chiunque potesse raggiungere il sistema aveva la possibilità di far eseguire istruzioni arbitrarie al server, prendendo di fatto il controllo dell’applicazione dall’esterno.
La vulnerabilità è stata scoperta dal ricercatore Kim SooHyun e segnalata attraverso il sistema di sicurezza di GitHub, con l’identificativo GHSA-3gcm-f6qx-ff7p. Purtroppo, prima che la correzione fosse disponibile, la falla è stata attivamente sfruttata. Le analisi hanno rilevato attività malevole riconducibili a un unico indirizzo IP associato alla rete satellitare Starlink, che ha preso di mira oltre 12.000 istanze di Flowise esposte su internet. Le attività successive all’intrusione hanno incluso raccolta di informazioni sui sistemi, furto di credenziali, installazione di connessioni remote non autorizzate, spostamento all’interno delle reti colpite ed esfiltrazione di dati. La patch è stata rilasciata nella versione 3.0.6 nel settembre 2025.
Perché è importante
Una vulnerabilità con punteggio 10.0 rappresenta il massimo livello di rischio possibile. Il fatto che siano state identificate oltre 12.000 istanze potenzialmente esposte indica quanto Flowise sia diffuso in ambienti reali, spesso aziendali. Gli agenti AI tendono ad avere accesso a risorse sensibili come database, API e credenziali di sistema, il che rende un’intrusione particolarmente pericolosa. Non è noto al momento quante organizzazioni abbiano subito danni concreti.
Cosa possono fare aziende e utenti
Chi utilizza Flowise dovrebbe verificare immediatamente quale versione è installata e aggiornare alla versione 3.0.6 o successiva. È consigliabile anche controllare i log di sistema per individuare eventuali attività anomale e, se si sospetta una compromissione, coinvolgere un professionista della sicurezza informatica. Le istanze di Flowise non dovrebbero mai essere esposte direttamente su internet senza adeguate misure di protezione.
Takeaway finali
- Aggiornare subito Flowise alla versione 3.0.6 o superiore è la prima e più urgente misura da adottare.
- Gli strumenti AI hanno spesso accesso privilegiato ai sistemi aziendali: una loro compromissione può avere conseguenze molto ampie.
- La sicurezza degli strumenti di sviluppo, anche quelli basati su AI, richiede la stessa attenzione riservata a qualsiasi altro software critico.
Fonti:
https://threatroad.substack.com/p/your-ai-agent-has-more-access-than
https://www.cypro.se/2026/04/07/flowise-ai-agent-builder-under-active-cvss-10-0-rce-exploitation-12000-instances-exposed/
https://radar.offseq.com/threat/flowise-304-remote-code-execution-rce-0d4ee7ae
https://www.sonicwall.com/fr-fr/blog/flowiseai-custom-mcp-node-remote-code-execution-
Fonte: Articolo originale