ZoomEye sorguları 40.653 Flowise ve 10.860 Dify AI builder başlık eşleşmesi ortaya çıkardı

Tarama ne buldu

10 Ekim 2026'da yayımlanan bir dev.to yazısı, internetten erişilebilen iki low-code AI uygulama geliştirici platformuna ait çok sayıda sayfa raporluyor. 28 Eylül 2026'da ZoomEye siber uzay arama motorunda çalıştırılan sorgular, başlığında "Flowise" geçen 40.653 ve başlığında "Dify" geçen 10.860 sonuç döndürdü.

Her iki ürün de ekiplerin bir web arayüzü üzerinden dil modeli iş akışları oluşturmasını — prompt'lar, araçlar ve veri kaynakları — sağlıyor ve ikisi de bu iş akışlarının kullandığı kimlik bilgilerini saklıyor. Yazar, bulguları tanıdık bileşenlerden oluşan yeni bir açık sınıfı olarak çerçeveliyor: küçük bir ekip tarafından hızla kurulmuş, sırlar barındıran ve açık internetten erişilebilen bir sunucudaki web uygulaması.

Platformlar ne barındırıyor

Yazıya göre saklanan malzeme, ham sayılardan ziyade açığın anlamlı olmasını sağlayan şey. Tipik bir iş akışı, herhangi bir konumdan çalışan faturalandırılabilir bir kimlik bilgisi olan bir model sağlayıcı anahtarı içeriyor; ayrıca veritabanı bağlantıları, nesne depolama anahtarları ve iş akışının çağırdığı servisler için API token'ları da bulunabiliyor. Platformlar ayrıca prompt'ların kendilerini ve bilgi tabanı içeriğini de saklıyor; bu içerik sık sık dahili dokümantasyonu yansıtıyor.

Yazar, bir model anahtarının indekslenmiş dokümanlarla birleşmesinin bir veri ifşa yolu oluşturduğuna dikkat çekiyor: Anahtara sahip bir saldırgan, platformun indekslediği bilgi tabanına sorgular gönderebilir ve temeldeki dokümanlar yanıtta geri dönebilir.

Örnekler neden açıkta kalıyor

Yazının anlattığı tipik dağıtım deseni şöyle başlıyor: küçük bir sunucuda bir container imajı kuruluyor ve değerlendirme sırasında meslektaşların erişebilmesi için bir portta yayımlanıyor. O değerlendirme sunucusu sonra üretim örneğine dönüşüyor ve port açık kalıyor. Her iki platform da kimlik doğrulama sunuyor, ancak varsayılan yapılandırmaları hızlı başlamaya öncelik veriyor ve bu özellik her zaman açılmıyor.

Önerilen inceleme adımları

Yazı, bu platformlardan birini çalıştıran ekipler için dört adımlı bir inceleme sırası ortaya koyuyor:

• Kimlik doğrulamanın etkin olduğunu ve ilk hesap kimlik bilgilerinin dağıtım sırasında değiştirildiğini doğrulayın.

• Saklanan kimlik bilgilerinin envanterini çıkarın, model sağlayıcı anahtarlarından başlayın ve açığa çıkmış olabilecekleri rotasyonlayın.

• Ağ erişilebilirliğini gerçekten ihtiyaç duyan kullanıcılara ve sistemlere kısıtlayın ve portu doğrudan yayımlamak yerine arayüzü bir erişim proxy'sinin arkasına yerleştirin.

• Platforma salt okunur erişimin neyi ortaya çıkaracağını görmek için indekslenmiş dokümanları denetleyin; çünkü buradaki bir kimlik bilgisi ele geçmesinin gerçekçi etkisi budur.

Sayılardaki uyarılar

Rakamlar net sınırlara sahip. Sorgular belirli bir sunucuda kimlik doğrulamanın etkin olup olmadığını bildirmiyor ve her iki ürün adı da dokümantasyonda, eğitimlerde ve pazar yeri listelerinde geçtiği için toplamlar servis çalıştırmayan sayfaları da içeriyor. Öte yandan, dağıtımlar sık sık gizlenmiş bir sayfa başlığı kullanıyor, bu da ölçülen nüfusun gerçektekinden büyük olasılıkla az olduğunu gösteriyor. Yazarın kendi önerisi, sayıları bir envanter değil, yön gösteren bir sinyal olarak ele almak.

Neden önemli

Low-code AI geliştirme araçları tam saldırganların istediği varlıkları tek bir web arayüzünün arkasında yoğunlaştırıyor: faturalandırılabilir model sağlayıcı anahtarları, servis kimlik bilgileri ve dahili dokümanlar — üstelik varsayılanları erişim kontrolünden çok kullanım kolaylığını tercih ediyor. Flowise ve Dify sayıları, ekiplerin LLM araçlarını sertleştirdiklerinden daha hızlı benimsemesiyle bu desenin ölçekli biçimde ortaya çıktığına işaret ediyor. Çözüm de riske göre alışılmadık derecede ucuz — kimlik doğrulamayı etkinleştirmek, anahtarları rotasyonlamak ve arayüzü bir proxy'nin arkasına taşımak birkaç saatlik iş — bu da bunu bu platformları üretimde çalıştıran herkes için pratik bir kontrol listesi maddesi haline getiriyor.