.jpg)
Más de 7.000 instancias de Langflow expuestas públicamente han sido identificadas como vulnerables a un ataque que permite ejecución remota de código sin autenticación. Esta cifra, reportada por Censys, revela solo la punta del iceberg de un problema de seguridad que afecta a los frameworks más populares para la construcción de agentes de inteligencia artificial. Las mismas vulnerabilidades clásicas —path traversal, SQL injection y deserialización insegura— que llevan décadas explotándose en aplicaciones web han encontrado un nuevo ecosistema donde causar daños masivos: la infraestructura de agentes IA.
LangGraph, Langflow y LangChain son tres de los marcos más extendidos para desarrollar agentes autónomos. Los tres han presentado fallos de seguridad graves en los últimos meses. LangGraph, con más de 50 millones de descargas mensuales, permite que un atacante encadene una inyección SQL en su checkpointer SQLite con un decodificador msgpack que ejecuta código Python arbitrario. Langflow, ya bajo ataque activo, expone un endpoint de subida de archivos sin sanitizar que, combinado con el auto-login activado por defecto, concede una shell en el servidor con una simple petición HTTP. LangChain-core, la base de ambos, tiene un cargador de prompts que lee archivos arbitrarios del disco, incluyendo el archivo .env con las claves de OpenAI y Anthropic.
Estos no son exploits sofisticados ni propios de la inteligencia artificial. Son errores de programación que cualquier equipo de desarrollo conoce. Sin embargo, el contexto es radicalmente nuevo: los agentes IA se conectan a bases de datos, sistemas CRM, APIs internas y servicios cloud. Una sola brecha en el framework puede exponer todo el conjunto de credenciales que el proceso tiene a su alcance. Como señaló Merritt Baer, directora de seguridad de Enkrypt AI, el riesgo no se siente como un problema de IA, sino como un fallo del programa de seguridad tradicional. Y es que las herramientas de seguridad perimetral (WAF, EDR) no están diseñadas para inspeccionar lo que ocurre tres capas adentro de un framework importado.
Para las empresas que están adoptando ia para empresas mediante agentes autónomos, este escenario representa una llamada de atención. No se trata solo de parchear las versiones, sino de repensar la gobernanza de la infraestructura de IA. Un agente comprometido no solo filtra información: ejecuta acciones en sistemas productivos a velocidad de máquina. Puede modificar registros, lanzar procesos o desencadenar decisiones de negocio basadas en datos envenenados. El riesgo operativo es enorme.
En Q2BSTUDIO entendemos que la ciberseguridad debe integrarse desde la fase de diseño, no como un añadido tardío. Por eso ofrecemos servicios de ciberseguridad y pentesting especializados en entornos de inteligencia artificial, donde evaluamos no solo el código propio, sino también las dependencias de frameworks como LangChain o LangGraph. Además, desarrollamos aplicaciones a medida que incorporan controles de acceso, validación de entrada y aislamiento de procesos desde el inicio, evitando que un path traversal o una inyección SQL comprometan todo el sistema.
La adopción de agentes IA no debe frenarse, pero sí debe hacerse con las salvaguardas adecuadas. Combinar la potencia de servicios cloud aws y azure con arquitecturas seguras permite desplegar agentes que se ejecutan en entornos aislados, con credenciales inyectadas de forma efímera y políticas de mínimo privilegio. Herramientas como power bi o servicios inteligencia de negocio también se benefician de un enfoque de seguridad integral, ya que los datos que fluyen desde los agentes hacia los cuadros de mando deben ser verificados y protegidos.
La lección es clara: los frameworks de agentes IA son la nueva superficie de ataque. No esperemos a que una brecha se convierta en un incidente de negocio. Actuar ahora, parcheando las vulnerabilidades conocidas, auditando las instancias expuestas y aplicando un modelo de confianza cero sobre la infraestructura de IA, es la única forma de evitar que estos 7.000 servidores Langflow sean solo el principio de una oleada de ataques que aprovechen lo que siempre estuvo ahí: bugs de toda la vida, ahora en la capa que conecta la inteligencia artificial con la empresa.
