Badacze bezpieczeństwa ujawnili zestaw luk w zabezpieczeniach w Dify, popularnej platformie open source do tworzenia aplikacji AI, które mogą pozwolić atakującym uzyskać dostęp do prywatnych rozmów z AI, przesłanych dokumentów i wewnętrznych usług wtyczek.
Luki, określane zbiorczo jako DifyTap, odkryli badacze z firmy Zafran. Dify jest szeroko stosowane jako warstwa orkiestracji do budowania, wdrażania i zarządzania aplikacjami AI bez konieczności tworzenia przez organizacje pełnej infrastruktury na własną rękę.
Ta popularność sprawia, że ustalenia są szczególnie istotne. Obraz API Dify został pobrany z Dockera ponad 10 milionów razy, a badacze zidentyfikowali dziesiątki tysięcy instancji Dify dostępnych z internetu.
Dla organizacji używających Dify do obsługi chatbotów dla klientów, wewnętrznych copilotów, asystentów dokumentów czy przepływów pracy z AI luki te uwydatniają rosnącą rzeczywistość: platformy AI znajdują się dziś blisko jednych z najbardziej wrażliwych danych przedsiębiorstw.
Czym jest DifyTap?
DifyTap to nazwa nadana czterem lukom w zabezpieczeniach dotyczącym Dify.
Luki obejmują:
- CVE-2026-41947 — błąd konfiguracji śledzenia (tracing), CVSS 9.1
- CVE-2026-41948 — błąd path traversal w Plugin Daemon, CVSS 9.4
- CVE-2026-41949 — nieautoryzowany podgląd dokumentów, CVSS 6.5
- CVE-2026-41950 — błąd dostępu użytkowników między plikami, CVSS 6.5
Łącznie luki te mogą pozwolić atakującym na:
- wyciek prywatnych historii czatów z AI
- przechwytywanie promptów użytkowników i odpowiedzi modeli
- rejestrowanie kontrolowanych przez atakującego backendów śledzenia
- dostęp do udostępnionych wewnętrznych interfejsów API Plugin Daemon
- podgląd dokumentów przesłanych przez innych tenantów
- wyciek plików między użytkownikami w obrębie tego samego tenanta
- wykorzystanie słabej autoryzacji opartej na identyfikatorach UUID dokumentów
Zafran poinformował, że w momencie publikacji raportu nie są mu znane próby wykorzystania luk w rzeczywistych atakach, ale ryzyko jest na tyle duże, że dotknięte organizacje powinny szybko zainstalować poprawki.
Dlaczego historie czatów z AI są wrażliwe
Historie czatów z AI to nie zwykłe logi.
Użytkownicy często wklejają do aplikacji AI wrażliwe informacje, w tym:
- dane klientów
- dokumenty wewnętrzne
- kod źródłowy
- umowy
- dane uwierzytelniające
- plany biznesowe
- treści prawne
- szczegóły finansowe
- zgłoszenia do wsparcia
- dane osobowe
- poufne prompty i odpowiedzi
Jeśli atakujący przechwycą rozmowy z AI, mogą uzyskać dostęp do danych, które nigdy nie miały opuścić organizacji.
Dlatego platformy AI są cennym celem.
Im bardziej użyteczna staje się aplikacja AI, tym bardziej wrażliwe są zwykle dane, które przez nią przepływają.
CVE-2026-41947: przejęcie śledzenia i podsłuch AI
Najgłośniejszą luką jest CVE-2026-41947, podatność w konfiguracji śledzenia z wynikiem CVSS 9.1.
W systemach AI śledzenie służy do monitorowania i profilowania zachowania aplikacji. Może rejestrować prompty, odpowiedzi modeli, przepływy wykonania, opóźnienia, błędy i inną telemetrię operacyjną.
Dane te są przydatne przy debugowaniu i obserwowalności, ale są też bardzo wrażliwe.
Według Zafran atakujący mógł utworzyć konto w Dify, zidentyfikować publicznie dostępną aplikację, uzyskać jej wewnętrzny identyfikator App ID, wywołać API konfiguracji śledzenia w Dify i zarejestrować własny backend śledzenia.
Gdy to się stanie, atakujący może ustanowić trwały kanał eksfiltracji wiadomości i odpowiedzi przesyłanych przez aplikację.
W praktyce przypomina to podsłuchiwanie chatbota AI.
W firmie używającej Dify do obsługi klienta mogłoby to ujawnić prompty użytkowników, odpowiedzi modeli, prywatne historie czatów i potencjalnie wrażliwe dane klientów.
CVE-2026-41948: path traversal w Plugin Daemon
Drugim poważnym problemem jest CVE-2026-41948, luka path traversal w Plugin Daemon z wynikiem CVSS 9.4.
Plugin Daemon w Dify odpowiada za zarządzanie wtyczkami i ich uruchamianie.
Luka mogła pozwolić atakującym na dostęp do udostępnionych fragmentów wewnętrznego API Plugin Daemon za pomocą nieuwierzytelnionych żądań.
Zafran zauważył, że bezpośredni wpływ jest obecnie ograniczony i dotyczy głównie dostępu do danych debugowania i profilowania wydajności. Ryzyko architektoniczne jest jednak poważniejsze.
Jeśli do wewnętrznej usługi można dotrzeć w nieprawidłowy sposób, każdy przyszły punkt końcowy dodany do tej usługi może stać się luką o poważnych skutkach.
Dlatego ta luka jest ważna nie tylko ze względu na bezpośredni wpływ. Odsłania słabość granic w architekturze platformy.
CVE-2026-41949: nieautoryzowany podgląd dokumentów
CVE-2026-41949 dotyczy dostępu do podglądu dokumentów.
Aplikacje Dify mogą pozwalać użytkownikom na przesyłanie dokumentów, takich jak pliki PDF, pliki tekstowe, raporty czy materiały bazy wiedzy. Pliki te są często powiązane z przepływami pracy AI i systemami generowania wspomaganego wyszukiwaniem (RAG).
Luka pozwala atakującemu, który zdobędzie UUID dokumentu, wyświetlić zawartość dokumentu przez punkt końcowy bez odpowiednich kontroli autoryzacji.
UUID nie powinien być traktowany jako mechanizm bezpieczeństwa.
Jeśli do uzyskania dostępu do treści wystarczy znajomość lub odgadnięcie identyfikatora, system ma problem z autoryzacją.
Dokumenty przesyłane na platformy AI mogą zawierać bardzo wrażliwe dane biznesowe lub osobowe, dlatego punkty końcowe podglądu muszą egzekwować ścisłe kontrole dostępu.
CVE-2026-41950: dostęp użytkowników między plikami
CVE-2026-41950 to kolejny błąd autoryzacji związany z dokumentami.
Luka mogła pozwolić atakującemu skłonić aplikację AI do ujawnienia zawartości pliku przez odwołanie się w prompcie do UUID dokumentu, bez dodatkowej autoryzacji.
Tworzy to niebezpieczne połączenie kontroli dostępu z zachowaniem AI.
Atakujący niekoniecznie potrzebuje bezpośredniego dostępu do pliku w tradycyjnym rozumieniu. Może użyć samej aplikacji AI jako mechanizmu wyodrębniania danych.
Jest to szczególnie niepokojące w środowiskach AI z wieloma użytkownikami lub wieloma tenantami, gdzie granice dokumentów muszą być konsekwentnie egzekwowane podczas przesyłania, podglądu, wyszukiwania, promptowania i generowania odpowiedzi modelu.
Stan poprawek
Zafran poinformował, że trzy z czterech luk zostały załatane w wersji Dify 1.14.2:
- CVE-2026-41947
- CVE-2026-41949
- CVE-2026-41950
Poprawka dla CVE-2026-41948 została włączona do kodu na GitHubie.
Organizacje, które chcą usunąć wszystkie cztery luki, powinny zbudować i wdrożyć najnowszą wersję z GitHuba zawierającą scaloną poprawkę.
Organizacjom korzystającym obecnie z Dify 1.14.2 Zafran zaleca wdrożenie reguł zapory aplikacji internetowych (WAF) zaprojektowanych specjalnie w celu ograniczenia CVE-2026-41948 do czasu wdrożenia w pełni wydanej wersji.
Dlaczego instancje Dify dostępne z internetu są wysokiego ryzyka
Zafran zidentyfikował dziesiątki tysięcy instancji Dify dostępnych z internetu.
Ma to znaczenie, ponieważ wystawione platformy AI mogą stać się atrakcyjnymi celami dla atakujących poszukujących wrażliwych danych.
Jeśli platforma AI jest osiągalna z internetu i ma słabe mechanizmy kontroli autoryzacji, atakujący mogą ją sondować pod kątem:
- aplikacji publicznych
- udostępnionych punktów końcowych API
- identyfikatorów dokumentów
- usług wtyczek
- konfiguracji śledzenia
- granic między tenantami
- przesłanych plików
- historii czatów
Aplikacje AI są często wdrażane szybko przez zespoły skupione na innowacjach i produktywności. Mechanizmy bezpieczeństwa mogą nie nadążać za tempem wdrożeń.
To tworzy ryzyko.
Platformy AI to krytyczne systemy przedsiębiorstw
Luki DifyTap pokazują, dlaczego platformy AI należy traktować jako krytyczne systemy przedsiębiorstwa, a nie eksperymentalne narzędzia poboczne.
Wiele organizacji używa platform AI do obsługi wrażliwych procesów, w tym:
- obsługi klienta
- wewnętrznego wyszukiwania wiedzy
- wsparcia HR
- przeglądu dokumentów prawnych
- copilotów dla inżynierów
- wsparcia sprzedaży
- analiz finansowych
- procesów zgodności
- streszczania dokumentów
Systemy te mogą przetwarzać dane z całej organizacji.
Luka w warstwie orkiestracji AI może więc stać się problemem ujawnienia danych w wielu obszarach naraz.
Autoryzacja musi obejmować cały przepływ pracy AI
Tradycyjne bezpieczeństwo aplikacji koncentruje się na punktach końcowych, rolach, sesjach i uprawnieniach do obiektów.
Aplikacje AI dodają nowe warstwy.
Autoryzację trzeba egzekwować w obrębie:
- sesji czatu
- historii promptów
- odpowiedzi modeli
- przesyłania dokumentów
- podglądu dokumentów
- potoków wyszukiwania
- baz wektorowych
- wykonywania wtyczek
- śledzenia i obserwowalności
- granic między tenantami
- wewnętrznych API usług
- narzędzi i akcji agentów
Jeśli którakolwiek z tych warstw ufa wyłącznie UUID, kontroli we frontendzie lub słabemu wewnętrznemu założeniu, wrażliwe dane mogą wyciec.
Problemy DifyTap pokazują, jak przepływy pracy AI mogą ujawniać dane w nieoczekiwany sposób.
Co organizacje powinny zrobić teraz
Organizacje korzystające z Dify powinny działać szybko.
Zalecane działania obejmują:
- aktualizację do Dify 1.14.2 lub nowszej wersji
- wdrożenie najnowszej wersji z GitHuba zawierającej poprawkę CVE-2026-41948
- zastosowanie reguł WAF dla CVE-2026-41948, jeśli nadal używana jest wersja 1.14.2
- identyfikację wszystkich instancji Dify dostępnych z internetu
- ograniczenie publicznego dostępu tam, gdzie nie jest wymagany
- przegląd konfiguracji śledzenia pod kątem nieautoryzowanych backendów
- audyt dostępu do przesłanych dokumentów
- kontrolę logów podglądu dokumentów
- sprawdzenie nietypowych wywołań API
- przegląd ekspozycji Plugin Daemon
- wymuszenie ograniczeń sieciowych wokół wewnętrznych usług Dify
- rotację kluczy tajnych w razie podejrzenia włamania
- przegląd granic dostępu tenantów i użytkowników
Każdą instancję Dify dostępną z internetu należy objąć przeglądem w pierwszej kolejności.
Czego szukać
Zespoły bezpieczeństwa powinny szukać oznak tego, że luki w stylu DifyTap mogły być sondowane lub nadużywane.
Przydatne obszary wykrywania to:
- nieoczekiwane zmiany w konfiguracji śledzenia
- nieznane adresy URL backendów śledzenia
- nietypowe wyliczanie identyfikatorów App ID
- wielokrotny dostęp do punktów końcowych podglądu dokumentów
- dostęp do UUID dokumentów przez nieoczekiwanych użytkowników
- podejrzane prompty odwołujące się do UUID plików
- nieuwierzytelnione żądania do ścieżek Plugin Daemon
- dostęp do punktów końcowych debugowania lub pprof
- nietypowy ruch wychodzący z usług Dify
- odpowiedzi AI zawierające nieoczekiwaną zawartość dokumentów
- anomalie w dostępie do plików między tenantami lub użytkownikami
Ponieważ platformy AI często generują złożone logi, organizacje powinny zadbać o to, by logowanie było scentralizowane, a logi przechowywane wystarczająco długo na potrzeby dochodzenia.
Wnioski dla bezpieczeństwa AI
Luki DifyTap uwypuklają kilka szerszych wniosków.
Po pierwsze, obserwowalność AI może stać się kanałem eksfiltracji, jeśli systemy śledzenia nie są chronione.
Po drugie, UUID dokumentów nie są mechanizmami kontroli dostępu.
Po trzecie, wewnętrzne usługi wtyczek i demony muszą być izolowane i uwierzytelniane.
Po czwarte, aplikacje AI mogą ujawniać dane pośrednio, przez prompty, wyszukiwanie lub odpowiedzi modeli.
Po piąte, platformy AI dostępne z internetu wymagają takiego samego utwardzania, monitorowania i dyscypliny w instalowaniu poprawek jak każda aplikacja krytyczna dla biznesu.
AI nie zmniejsza potrzeby stosowania tradycyjnych mechanizmów bezpieczeństwa. Poszerza obszar, w którym trzeba je stosować.
Zalecenia dla CISO
CISO powinni traktować platformy AI jako część powierzchni ataku przedsiębiorstwa.
Praktyczne kroki obejmują:
- inwentaryzację wszystkich platform i aplikacji AI
- klasyfikację danych, do których ma dostęp każdy system AI
- wymaganie przeglądu bezpieczeństwa przed wystawieniem do internetu
- stosowanie zasady najmniejszych uprawnień dla aplikacji i wtyczek AI
- testowanie izolacji tenantów i kontroli dostępu do dokumentów
- monitorowanie integracji śledzenia i obserwowalności
- przegląd uprawnień do baz wektorowych i wyszukiwania dokumentów
- uwzględnienie platform AI w zarządzaniu podatnościami
- wymaganie SLA dla poprawek infrastruktury AI
- centralne logowanie aktywności aplikacji AI
- regularne testy penetracyjne przepływów pracy AI
Pytanie nie powinno brzmieć „Czy używamy AI?”, lecz „Gdzie AI ma styczność z wrażliwymi danymi i jak kontrolowany jest ten dostęp?”
Podsumowanie
DifyTap to przypomnienie, że platformy AI mogą stać się potężnymi punktami ujawnienia danych, gdy autoryzacja, śledzenie, dostęp do wtyczek i uprawnienia do dokumentów nie są ściśle kontrolowane.
Najpoważniejsza luka mogła pozwolić atakującym zarejestrować własny backend śledzenia i przechwytywać prywatne rozmowy z AI. Inne luki mogły ujawnić przesłane dokumenty lub wewnętrzne usługi wtyczek.
Dify załatało większość problemów w wersji 1.14.2, a pozostała poprawka dla Plugin Daemon została scalona na GitHubie.
Organizacje korzystające z Dify powinny natychmiast zainstalować poprawki, ograniczyć ekspozycję, przejrzeć ustawienia śledzenia i przeprowadzić audyt dostępu do dokumentów.
Platformy AI nie są już eksperymentalnymi systemami pobocznymi. Stają się centrami danych przedsiębiorstw. Oznacza to, że trzeba je zabezpieczać, monitorować i nadzorować jak infrastrukturę krytyczną.
