2026 年 7 月 7 日、米国のサイバーセキュリティ・インフラストラクチャー安全保障庁（CISA）は、Langflow の脆弱性（CVE-2026-55255）を「悪用が確認された脆弱性カタログ」に加えた。Langflow はオープンソースの視覚的なツールで、ノードをドラッグしてつなぐことで、AI モデル、データベース、外部サービスを自動で動く一つの流れにまとめられる。
それに先立つ 6 月 26 日、クラウドセキュリティ企業 Sysdig は、前日に観測した攻撃を分析で報告している。攻撃者はまずプラットフォーム上の流れの番号を一覧にし、その番号でほかの利用者の流れを実行し、最後に「leak api keys」（API キーを吐き出せ）という一文を送った。キーが実際に漏れたかは確認されていないが、攻撃者が何を狙ったかははっきりしている。流れそのものに価値はない。価値があるのは流れの中の鍵だ。
この種のツールに問題が起きたとき、まず押さえるべきなのはここだ。AI ワークフローツールは鍵束のようなものだ。ほかのシステムとつなぐために、それぞれの流れが API キー、ログイン用のトークン、データベースの接続情報を持ち、プログラムがあなたの代わりにそうしたシステムに出入りできるようにしている。ツールが露出したときに棚卸しすべきなのは、「この製品を使っているか」ではなく、「どの流れがどの鍵を持ち、その鍵でどの扉が開くか」だ。
すべての鍵を替えるのが、いちばん安全とは限らない
全部替えるのがいちばん安全に聞こえるが、副作用が二つある。一つは、ログを保全する前に替えると、あとでどのデータが読まれ、どのシステムが呼ばれたのかがわからなくなりうること。もう一つは、何十本も一度に替えると、怪しい流れが実際に使った一本を見落としたり、同じくらい強い権限の新しい鍵に替えてしまったりして、リスクが下がらないことだ。
ただし「最初から全部は替えない」は「放っておく」という意味ではない。最初にやるのは止血だ。公開の共有リンク、外から実行できる窓口、そして外部のシステムがこの流れを呼び出すための入口である怪しい webhook を閉じ、管理画面を社内ネットワークか、指定した接続元だけを通す設定に戻す。本番環境の鍵を持つ危険度の高い流れは実行を止めるが、設定は消さない。それはあとの調査の証拠になる。
四つの問いに順に答える
一、どの流れが見られた、または実行された可能性があるか。 ツールのログイン記録と実行記録から、怪しい期間の見慣れないアカウント、見慣れない接続元、予定外の時間の実行を探す。名前を見られただけの流れと、実際に実行された流れとでは、対応の順番が違う。
二、その流れにはどの鍵が保存されているか。 鍵は設定画面だけにあるとは限らない。ノードのパラメーター、環境変数、テスト用の入力、書き出した設定ファイル、古い版やコピーした流れに隠れていることもある。いちばん見落としやすいのは、停止した流れと個人のテスト用の流れだ。監視の外にあるのに、作ったときに手軽さのため強い権限の鍵をそのまま貼っているかもしれない。棚卸しでは鍵の名前、種類、権限、担当者だけを記録し、鍵そのものを共有文書に貼らないこと。
三、その鍵でどの扉が開くか。 テスト用のデータを読むだけの鍵と、顧客データ、財務記録、社内文書を読み書きできる鍵とでは、事故の深刻さがまったく違う。権限がわからない鍵は、危険度が高いものとして扱う。
四、ログは足りているか。 ワークフローツール自身の記録だけでなく、呼び出された側のシステムの記録や、メール、チャット、外部 API など流れが結果を送り出す経路の記録も保存する。ツール内の記録は不完全なことが多く、流れが実際に何をしたかは受け取った側のシステムでしか見えない。
入れ替えは順番に、再発行では権限を絞る
四つの問いに答えたら、入れ替えの順番を決める。最初は、怪しい流れに出てきた、本番で使える、機密データを読み書きできる鍵。次に、権限は低いが怪しい流れに使われた鍵。最後に、露出はしていないが名前が乱雑だったり担当者がいなかったりする古い鍵を整理する。
再発行のときは、同じくらい強い新しい鍵にしないこと。読み取りと書き込みを分け、要約の流れにはデータを消す権限を持たせない。個人のアカウントは専用のサービスアカウントに置き換え、有効期限と担当者を決める。仕事の各段階にちょうど足りるだけの権限を渡す方法は、AI agent がシステムをまたいで動くなら、立ち寄る先ごとに新しい鍵に替えるを参考にしてほしい。
ログが足りないなら、そのとおり書く
ログが足りず、データが読まれた可能性を否定できないなら、事故の記録にそのまま「ログ不足のため否定できない」と書く。これは、顧客や当局への通知、法務の関与が必要かどうかに関わる。こうした判断を AI やエンジニアだけに任せてはいけない。
この棚卸しは、問題が起きてから始めるものでもない。普段から月に一度、「流れと鍵の一覧」を更新しておく。流れの名前、担当者、つながるシステム、使う鍵、最後に実行された時刻とログの場所だ。問題が起きたとき、それがそのまま対応の出発点になる。漏れた鍵がどのデータに届くかを描くには、サードパーティのツールが侵入されたとき、CRM の損失の大きさは渡した権限で決まるも合わせて使える。
AI 整理カード
使っている AI ワークフローツールが露出したかもしれない。入れ替えの順番を決める前に、流れの中にどの鍵があるかを棚卸ししたい。
判断方法はこの記事による：https://boosterminiclass.com/ja/posts/ai-workflow-builder-credential-exposure-checklist/
記事の見方はこうだ。ツールに問題が起きたとき、危ないのはそれぞれの流れに保存され、呼び出せる認証情報だ。まず入口を閉じてログを保全し、「どの流れがどの鍵を持ち、どの扉が開くか」で入れ替えの順番を決め、再発行のときに権限も絞る。
流れの一覧を渡すが、鍵、パスワード、トークンそのものは含めていない。それらを求めないこと。
1. 流れごとに次を整理する。流れの名前、担当者、見られた・実行された可能性があるか（私が渡した記録を根拠に）、使っている鍵（名前と種類）、鍵の権限、つながるシステム、結果を送る外部の経路、ログの場所；
2. 足りない項目はすべて「人による確認が必要」とし、安全だと仮定しない；
3. 提案を、すぐに止める入口、先に入れ替える鍵、あとで権限を絞る鍵、まだ保全が必要なログに分ける；
4. 顧客への通知や事故の深刻度を上げるかなど、担当者が決めるべき問いを挙げる。
停止、入れ替え、通知、深刻度は担当者が決める。あなたは順番と理由を整理するだけだ。
参考資料
- CISA 公式発表：CISA Adds Three Known Exploited Vulnerabilities to Catalog — https://www.cisa.gov/news-events/alerts/2026/07/07/cisa-adds-three-known-exploited-vulnerabilities-catalog（2026-07-07）
- Sysdig blog：Understanding Langflow CVE-2026-55255, and why higher CVSS vulnerabilities aren’t always the most exploited — https://www.sysdig.com/blog/understanding-langflow-cve-2026-55255-and-why-higher-cvss-vulnerabilities-arent-always-the-most-exploited（2026-06-26）
- NVD：CVE-2026-55255 Detail — https://nvd.nist.gov/vuln/detail/CVE-2026-55255（2026-06-23）
