Hacker News· DGAP·· 2 小时前精选推荐指数76
Era 披露针对 Flowise 的中文攻击框架 Greeter：12 步链从 AI 工作负载打到云身份
You Had Me at "Hello": A Chinese‑Language Framework Targeting AI Infrastructure
AI 导读
Era 研究团队披露名为 Greeter 的中文语言攻击框架，它利用 Flowise 的 CVE-2024-58351（overrideConfig 代码注入，CVSS 9.8）在每次请求中注入恶意 JavaScript，存储的 chatflow 与用户消息仅显示无害的 hello，而 API 实际执行侦察、凭据发现与云元数据探测等命令。
推荐理由
原文给出了 Greeter 框架的完整 12 步攻击链与 Shodan 暴露面数据，读者可据此评估 Flowise 类 AI 应用漏洞向云身份扩散的实际路径。
来源：Hacker News · era.security