はじめに：Flowiseとは？そしてなぜフロントエンドが関心を持つべきか

Flowiseは、LangChainのようなLLMオーケストレーションフレームワークをベースに、ノーコード・ローコードでチャットボットやAIエージェントなどのLLMアプリケーションを構築できるツールです。直感的なUIでノードをつなぎ合わせることで、複雑なLLMフローを簡単に作成できます。近年、フロントエンドエンジニアがWebアプリケーションにLLM機能を統合する機会が増えており、Flowiseのようなツールは開発効率を大幅に向上させるため、多くの注目を集めています。

しかし、このような便利なツールであっても、その基盤となる技術にはセキュリティ上の脆弱性が潜んでいる可能性があります。特に、LLMの出力が直接コードとして実行されるようなシナリオでは、予期せぬリモートコード実行（RCE）につながるリスクがあり、フロントエンドエンジニアもその影響範囲と危険性を理解しておくことが重要です。

脆弱性の概要：CSV AgentにおけるRCE

今回報告された脆弱性 (GHSA-5xvg-pmgg-3mxr / CVE-2026-70477) は、FlowiseのCSV Agentノードに影響を及ぼします。深刻度は「Critical」と評価されており、認証なしでプロンプトインジェクションを介して、Flowiseサーバー上で任意のコードが実行される（リモートコード実行: RCE）可能性があります。

具体的には、Flowiseのバージョン3.1.1までの環境が影響を受けます。この脆弱性を悪用されると、攻撃者はFlowiseサーバーが稼働しているシステム上で、OSコマンドの実行やデータの窃取、さらにはシステム全体の乗っ取りなど、非常に深刻な被害を引き起こす可能性があります。

技術的詳細：なぜRCEが発生するのか？

この脆弱性の根源は、LLMが生成したPythonコードの不十分な検証と、そのコードが実行されるPyodide環境のサンドボックス化の欠如にあります。

Flowiseの`CSV_Agents`クラスの`run`メソッドでは、ユーザーからの入力（`input`）がLLMへのシステムプロンプトに組み込まれ、そのプロンプトが設定されたLLMに送信されます。LLMが生成した応答（Pythonコード）は`pythonCode`変数に格納され、その後`validatePythonCodeForDataFrame`関数によって検証されます。

しかし、このバリデータは静的な正規表現に基づいたブロックリストに依存しており、攻撃者は様々な難読化テクニック（文字列連結、`chr()`エンコーディング、危険な組み込み関数のエイリアシング、`__getattribute__`の使用、フレームオブジェクトやMROのトラバーサルなど）を用いて、このブロックリストを容易にバイパスすることが可能です。実際、8つの異なるバイパス手法が報告されています。

さらに問題なのは、バリデーションを通過したPythonコードが`pyodide.runPythonAsync(code)`によって実行されるPyodide環境が、ホストOSからサンドボックス化されていない点です。これにより、悪意のあるPythonコードはOSインターフェースにフルアクセスでき、結果としてサーバー側で任意のコード実行が可能となってしまうのです。

想定される攻撃シナリオ

この脆弱性を悪用する攻撃シナリオは主に二つ考えられます。

1. **プロンプトインジェクション（認証不要）**：攻撃者は、既存のチャットフロー（CSV Agentノードを使用）の予測エンドポイントに対し、悪意のあるプロンプトを直接送信します。LLMがこのプロンプトに誘導され、ブロックリストをバイパスする悪意のあるPythonスクリプトを生成し、それがFlowiseサーバー上で実行されます。LLMの応答の性質上、複数の試行が必要になる場合があります。

2. **悪意のあるチャットフロー設定（認証済み）**：認証された攻撃者は、Flowiseの管理画面から、攻撃者が制御するLLMサーバーを指すチャットフロー（CSV Agentノードを使用）を構成します。この場合、LLMへのリクエストは攻撃者制御のサーバーに向けられ、攻撃者はLLMの応答を迂回して直接悪意のあるPythonペイロードを送り込み、Flowiseサーバー上で実行させることが可能です。

フロントエンドエンジニアが認識すべきリスクと対策

この脆弱性は直接フロントエンドのコードに起因するものではありませんが、LLMを活用したアプリケーション開発に携わるフロントエンドエンジニアが、バックエンド側のセキュリティリスクを理解することは非常に重要です。

1. **Flowiseのアップデート**: 最も直接的かつ重要な対策は、開発元からのパッチがリリースされ次第、Flowiseを最新の安全なバージョンに速やかにアップデートすることです。定期的にセキュリティ情報を確認し、迅速な対応を心がけましょう。

2. **入力検証の強化**: ユーザーからの入力だけでなく、LLMが生成する出力コードに対しても、より厳格な検証メカニズムを導入する必要があります。ブロックリストは簡単にバイパスされるため、安全なPythonコードのみを実行させるためのホワイトリスト方式や、静的解析ツール、実行時監視などの多層的なアプローチを検討することが望ましいです。

3. **コード実行環境のサンドボックス化**: Pyodideのようなコード実行環境を使用する場合、それがホストOSから完全に隔離されたサンドボックス環境で動作していることを確認し、もしされていなければサンドボックス化を実装することが不可欠です。これにより、たとえ悪意のあるコードが実行されたとしても、その影響を限定的にすることができます。

4. **最小権限の原則**: Flowiseサーバーや関連サービスを稼働させるユーザーアカウントには、必要最低限の権限のみを与えるように設定しましょう。これにより、RCEが発生した場合でも、攻撃者がシステム全体に与える損害を最小限に抑えることができます。

5. **セキュリティ監査とテスト**: LLMアプリケーション特有の脆弱性（プロンプトインジェクションなど）に対する継続的なセキュリティ監査とテストを実施することが重要です。特に、LLMの挙動は予測が難しい場合があるため、堅牢なテスト戦略が求められます。

まとめ

LLMの普及に伴い、アプリケーション開発はますます容易になる一方で、新たなセキュリティリスクも顕在化しています。Flowiseのような便利なツールを活用する際も、その裏側でどのような処理が行われ、どのようなセキュリティモデルが採用されているかを理解することが、安全なアプリケーションを構築する上で不可欠です。

フロントエンドエンジニアの皆様も、自らが開発に携わるアプリケーションが、サプライチェーン全体のどこに脆弱性を抱えている可能性があるのか、常に意識し、最新のセキュリティ情報にアンテナを張ることで、未然に脅威を防ぐ力を養っていきましょう。