Flowise, Ollama, dan n8n Terbuka ke Internet: Bahaya Tools AI Self-Hosted dan Cara Mengamankannya

Tools AI self-hosted seperti Flowise, Ollama, Open WebUI, Langflow, dan n8n makin populer karena gratis, mudah dipasang, dan data tetap di server sendiri. Masalahnya, banyak yang dipasang dengan konfigurasi default lalu dibiarkan terbuka ke internet tanpa login. Pada November 2026, peneliti menemukan framework serangan bernama Greeter yang khusus memburu server Flowise lama untuk mencuri kredensial cloud. Artikel ini membahas kasusnya, data paparan tools AI self-hosted, dan langkah praktis untuk mengamankannya.

Kasus Terbaru: Greeter Memburu Server Flowise

Flowise adalah tools low-code untuk membangun chatbot dan AI agent dengan antarmuka drag-and-drop. Pada 5 November 2026, Era Security melaporkan Greeter, framework eksploitasi berbahasa Mandarin yang menargetkan server Flowise yang belum ditambal.

Greeter memanfaatkan celah CVE-2024-58351 di Flowise versi sebelum 2.1.4. Celah ini memungkinkan penyerang menyisipkan kode JavaScript lewat parameter overrideConfig di API. Yang membuatnya licik:

• Workflow yang tersimpan tidak berubah. Kode berbahaya dikirim per request, sehingga audit workflow tidak menemukan apa-apa.
• Log terlihat normal. Log hanya menampilkan pesan "hello" berulang, padahal server mengirim balik informasi host dan kredensial.
• Target akhirnya akun cloud. Penyerang mencoba mengambil token sementara AWS IAM atau service account Google Cloud dari layanan metadata server, lalu masuk ke akun cloud korban.

Hasil scan Shodan oleh peneliti menemukan:

Ada satu fakta lagi yang penting: menurut laporan yang sama, Flowise sudah berstatus end-of-life sejak Agustus 2026, dengan rilis komunitas terakhir versi 3.1.4. Artinya, server Flowise self-hosted tidak lagi mendapat patch keamanan resmi.

Bukan Hanya Flowise: Celah Kritis di Tools AI Self-Hosted Lain

Seberapa Banyak yang Terbuka ke Internet?

Riset Cloud Security Alliance (Mei 2026) yang merangkum berbagai scan internet menunjukkan masalah ini sangat luas:

• Sekitar 1 juta endpoint layanan AI ditemukan terbuka di internet.
• Sekitar 300.000 server Ollama terhubung ke internet publik. Dari 5.200+ server Ollama yang diuji, 31% langsung menjawab prompt tanpa autentikasi.
• Lebih dari 12.000 Open WebUI dan 26.512 host n8n terekspos.
• 518 model di server Ollama ternyata dipakai sebagai proxy tidak sah ke API berbayar seperti OpenAI, Anthropic, dan Google. Artinya, pemilik server yang menanggung tagihannya.
• Untuk salah satu tools yang dianalisis, lebih dari 90% instance yang terekspos punya celah serius, dan tidak satu pun menambal dalam seminggu setelah celah RCE baru diumumkan.

Kenapa Tools AI Self-Hosted Sering Terbuka?

• Default tanpa autentikasi. Ollama misalnya, berjalan di port 11434 dan tidak punya autentikasi bawaan.
• Bind ke 0.0.0.0. Supaya bisa diakses dari laptop lain, banyak tutorial menyuruh membuka layanan ke semua interface, termasuk internet.
• Docker melewati firewall. Port yang dibuka dengan docker run -p 3000:3000 sering tetap bisa diakses dari internet walaupun UFW sudah aktif, karena Docker mengatur iptables-nya sendiri.
• Dipasang untuk eksperimen, lalu dilupakan. Server percobaan tidak masuk inventaris aset dan tidak pernah di-update.
• Menyimpan banyak kredensial. Flowise dan n8n menyimpan API key OpenAI, kredensial database, token Slack, sampai akses cloud. Satu server bobol berarti semua kredensial itu ikut bocor.

Cara Mengecek Apakah Server Anda Terbuka

1. Cek port yang mendengarkan di semua interface

sudo ss -tlnp

Perhatikan kolom alamat. 127.0.0.1:11434 berarti hanya bisa diakses dari server itu sendiri (aman). 0.0.0.0:11434 atau *:11434 berarti terbuka ke semua jaringan.

2. Uji dari luar server

Dari komputer lain di luar jaringan (misalnya lewat hotspot HP), coba akses:

# Ollama
curl http://IP-PUBLIK-SERVER:11434/api/tags

# Flowise / Open WebUI / n8n
curl -I http://IP-PUBLIK-SERVER:PORT

Jika Ollama mengembalikan daftar model, atau halaman Flowise terbuka tanpa diminta login, server Anda terekspos.

3. Cek dengan mesin pencari perangkat

Cari IP publik server Anda di Shodan atau Censys. Kalau port layanan AI Anda muncul, penyerang juga bisa melihatnya.

Cara Mengamankan Tools AI Self-Hosted

1. Jangan buka ke internet: bind ke localhost

Untuk Ollama, pastikan hanya mendengarkan di localhost:

OLLAMA_HOST=127.0.0.1:11434 ollama serve

Untuk container Docker, ikat port ke 127.0.0.1 supaya tidak melewati firewall:

# Salah: terbuka ke semua interface
docker run -p 3000:3000 flowiseai/flowise

# Benar: hanya bisa diakses dari server itu sendiri
docker run -p 127.0.0.1:3000:3000 flowiseai/flowise

2. Akses dari jauh lewat VPN, bukan port publik

Kalau perlu diakses dari luar, gunakan VPN seperti WireGuard atau Tailscale, atau layanan akses berbasis identitas seperti Cloudflare Access. Dengan begitu, layanan tidak pernah terlihat di internet publik.

3. Wajibkan autentikasi di depan layanan

Aktifkan fitur login bawaan tools tersebut. Untuk tools yang tidak punya login, seperti Ollama, pasang reverse proxy (Nginx, Caddy, atau Traefik) dengan autentikasi di depannya.

4. Update rutin, dan ganti tools yang sudah end-of-life

• n8n: minimal 1.121.0, sebaiknya rilis terbaru.
• Open WebUI: minimal 0.6.35, dan matikan fitur Direct Connections jika tidak dipakai.
• Ollama: update ke versi terbaru yang sudah menambal CVE-2026-7482.
• Flowise: minimal 3.1.1 untuk menutup CVE-2025-59528. Karena sudah end-of-life, pertimbangkan migrasi ke alternatif yang masih aktif dikembangkan, atau pastikan server benar-benar tidak terjangkau dari internet.

5. Blokir akses ke layanan metadata cloud

Serangan Greeter berusaha mencuri token dari layanan metadata cloud di alamat 169.254.169.254. Di AWS, wajibkan IMDSv2. Di platform lain, batasi container agar tidak bisa mengakses alamat metadata jika tidak dibutuhkan.

6. Rotasi semua kredensial jika server sempat terekspos

Anggap server yang terbuka dan rentan sudah disusupi. Ganti semua API key AI, kredensial database, token integrasi, dan akses cloud yang tersimpan di Flowise, n8n, atau Open WebUI. Cek juga tagihan API AI untuk pemakaian yang tidak wajar.

7. Pantau perilaku server, bukan hanya workflow

Karena Greeter menyembunyikan kode berbahaya di parameter API yang sah, audit workflow saja tidak cukup. Pantau perilaku runtime: proses shell yang muncul dari aplikasi, koneksi keluar yang tidak biasa, dan akses ke alamat metadata. Tools seperti Falco atau Wazuh bisa membantu.

Checklist Singkat

• Port layanan AI hanya terikat ke 127.0.0.1 atau jaringan internal.
• Port Docker memakai format 127.0.0.1:PORT:PORT.
• Akses jarak jauh lewat VPN atau gateway berbasis identitas.
• Login aktif di semua tools; reverse proxy dengan autentikasi untuk yang tidak punya login.
• Semua tools di versi terbaru; tools end-of-life sudah diganti atau diisolasi.
• Akses ke metadata cloud dibatasi.
• Server AI tercatat di inventaris aset dan masuk jadwal scan kerentanan.
• Kredensial yang tersimpan di tools AI dirotasi secara berkala.

Baca juga artikel terkait keamanan AI dan kredensial di kategori AI dan Cyber Security.

FAQ Seputar Keamanan Tools AI Self-Hosted

Apakah Flowise masih aman dipakai?

Flowise versi komunitas sudah berstatus end-of-life sejak Agustus 2026, sehingga tidak lagi mendapat patch keamanan resmi. Jika tetap dipakai, gunakan versi terakhir, jangan buka ke internet, dan akses hanya lewat VPN. Untuk jangka panjang, pertimbangkan alternatif yang masih aktif dikembangkan.

Apakah Ollama punya fitur login?

Tidak secara bawaan. Ollama berjalan di port 11434 tanpa autentikasi, jadi sebaiknya hanya diikat ke 127.0.0.1 dan, jika perlu diakses dari luar, dilindungi dengan VPN atau reverse proxy yang memakai autentikasi.

Kenapa firewall UFW tidak memblokir port Docker?

Docker menulis aturan iptables sendiri yang diproses sebelum aturan UFW, sehingga port yang dipublikasikan dengan -p tetap bisa diakses dari internet. Solusinya, ikat port ke 127.0.0.1, misalnya -p 127.0.0.1:3000:3000.

Bagaimana cara mengetahui server saya terekspos?

Jalankan ss -tlnp untuk melihat layanan yang mendengarkan di 0.0.0.0, uji akses dari jaringan luar dengan curl, dan cari IP publik server di Shodan atau Censys.

Apa yang harus dilakukan jika server AI saya sempat terbuka?

Tutup akses publiknya, update ke versi terbaru, anggap server sudah disusupi, lalu rotasi semua kredensial yang tersimpan di dalamnya dan periksa log serta tagihan cloud atau API untuk aktivitas mencurigakan.

Kesimpulan

Tools AI self-hosted memberi kebebasan dan kendali atas data, tetapi juga memindahkan tanggung jawab keamanan sepenuhnya ke pemilik server. Kasus Greeter menunjukkan bahwa server Flowise yang lama tidak ditambal, terbuka ke internet, dan menyimpan kredensial cloud adalah target empuk.

Aturan dasarnya sederhana: jangan buka layanan AI ke internet, wajibkan login, update rutin, dan anggap setiap kredensial di dalamnya berharga. Beberapa menit untuk mengubah satu baris konfigurasi Docker bisa mencegah akun cloud Anda diambil alih.

Sumber

• TechTarget: Greeter Exploit Framework Hides Cloud Theft on AI Servers
• CSA: Flowise CVSS 10.0 RCE, AI Agent Builders Under Attack
• CSA: Exposed AI Infrastructure, Self-Hosted Services Under Attack
• The Hacker News: Critical n8n Vulnerability (CVSS 10.0)
• The Hacker News: Weekly Recap, 9 November 2026