# Langflow — éditeur visuel de flows IA en Python Langflow : créer des applications IA (RAG, agents, chatbots) en Python, sous licence MIT. Installation pip/Docker, sécurité et points de vigilance détaillés. URL canonique : https://www.osfria.fr/langflow.html --- OSIALab · Automatiser ## Langflow — concevoir des flows IA visuellement, en Python Langflow est un éditeur visuel d'**applications IA** : RAG, agents, chaînes de traitement. On glisse-dépose des composants, on les relie, on teste dans le *Playground* intégré, puis on expose le flow en API REST. Écrit en Python et publié sous licence **MIT**, il s'auto-héberge en local comme sur un serveur. ### Fiabilité & transparence 🟡 **Utilisable, avec points d'attention** - **Maintenance** : v1.10.0 (juin 2026) — projet très actif (100+ PR/semaine). Le 🟡 tient aux trois failles RCE révélées en 2026, corrigées depuis v1.9.0. - **Adoption** : Communauté active, variante Python de Flowise. - **Sécurité** : CVE-2026-33017 (RCE non-auth), CVE-2026-5027 (path traversal) — ✅ corrigées 1.9.0+. Plusieurs RCE critiques en 2026 : à surveiller. - **Verdict** : Constructeur LLM en Python, riche, mais mettez à jour vers 1.9.0+ obligatoirement. Isolez les instances de test. Signalez les failles découvertes. > Page informative, sans valeur de conseil. Téléchargez depuis la **source officielle**, vérifiez la **licence**, et gardez en tête que Langflow **exécute du code Python** via ses composants et peut piloter des **agents qui appellent des outils réels** : testez en environnement isolé d'abord. ### À quoi ça sert Langflow propose un canevas où chaque **composant** remplit une fonction : un modèle, un *prompt*, un parseur, une mémoire, un *retriever*, une base vectorielle, un agent. On les câble entre eux pour bâtir un pipeline — un RAG sur des documents internes, un agent qui combine plusieurs sources, une chaîne de classification de texte. Une fois le flow assemblé, Langflow l'expose comme une **API REST** ou un widget intégrable. Sa parenté avec [Flowise](https://www.osfria.fr/flowise.html) est nette ; la différence tient surtout à la plateforme : **Langflow est en Python**. Pour une équipe déjà outillée en Python (data science, scripts, intégrations), c'est un terrain familier — on prolonge un flow par du code Python sans changer d'écosystème. ### Ce qui fait sa force - **Le Playground.** Depuis la 1.0, on teste un flow directement dans l'interface, sans passer par un appel API externe. La boucle « modifier → essayer » est immédiate. - **Composants Python extensibles.** Au-delà des blocs fournis, on écrit ses propres *Custom Components* en Python. Tout ce que Python sait faire devient un nœud du flow. - **Du visuel à l'API en un geste.** Chaque flow est exportable en JSON et appelable en REST. On passe du prototype à l'intégration sans réécriture. - **Local ou cloud, au choix.** Les composants de modèle pointent sur [Ollama](https://www.osfria.fr/ollama.html) en local comme sur un provider distant : on garde la main sur ce qui sort de la machine. - **Licence MIT.** Parmi les outils de cette famille, Langflow est l'un des plus permissifs côté licence — un point à peser pour un usage commercial (voir plus bas). ### Pour qui Pour des **développeurs et profils techniques**, idéalement à l'aise en Python, qui veulent prototyper sans monter une application complète. Connaître Python aide à diagnostiquer : les messages d'erreur proviennent souvent des bibliothèques sous-jacentes. Les non-développeurs peuvent traiter des cas simples au visuel, mais les composants avancés (agents, outils sur mesure) demandent un peu de lecture. Pour un équivalent côté JavaScript, voyez [Flowise](https://www.osfria.fr/flowise.html) ; pour une plateforme d'applications LLM plus intégrée, [Dify](https://www.osfria.fr/dify.html). ### Installation #### Prérequis Python (3.10 ou plus récent) ou Docker. Aucun GPU n'est requis côté Langflow : il orchestre les appels, le modèle tournant ailleurs (Ollama en local ou provider via API). Installez-le toujours dans un **environnement virtuel dédié** — il tire de nombreuses dépendances. #### Avec pip / uv ``` # Environnement isolé (recommandé), via uv pip install uv uv venv langflow-env # activer l'environnement, puis : uv pip install langflow # Lancer langflow run ``` Ouvrez ensuite **http://127.0.0.1:7860**. #### Avec Docker ``` docker run -it \ -p 7860:7860 \ -v langflow_data:/app/langflow \ langflowai/langflow:latest ``` Note : les images officielles ré-incluent `uv`/`uvx` depuis la version 1.8.1 — utile si vos composants ou serveurs MCP en dépendent. #### Mise à jour (pip) ``` uv pip install -U langflow ``` ### Aller plus loin : l'API et les composants Python Chaque flow publié est appelable via une **API REST** ; on l'intègre alors dans une application, un back-office, un autre outil. C'est ce qui fait passer Langflow du statut de maquette à celui de brique réutilisable. Les **Custom Components** exécutent du **Python sur votre serveur**. C'est la grande force de l'outil — et le point à surveiller : un composant personnalisé fait exactement ce que son code dit de faire, y compris s'il provient d'un flow partagé ou d'une génération automatique. À traiter comme du code de production. ### Points de vigilance Langflow est un **serveur web qui exécute du Python et pilote des agents**. Les points ci-dessous découlent de cette nature, pas de reproches génériques. | Point d'attention | Niveau | Ce qu'il faut savoir | | --- | --- | --- | | Les Custom Components exécutent du Python | 🔴 selon la source du flow | Un composant personnalisé exécute son code sur votre serveur. Un flow importé ou généré par IA peut donc lancer du code chez vous. Relisez tout composant custom avant activation ; exécutez Langflow dans un environnement isolé (venv, conteneur). | | Agents avec accès système ou réseau | 🔴 selon les outils accordés | Un agent doté d'un outil shell, fichiers ou web peut enchaîner des actions sans confirmation. N'accordez jamais d'accès shell en production ; limitez les outils au strict nécessaire. | | Accès non protégé par défaut | 🟡 réel en réseau | Selon la configuration, Langflow peut démarrer en connexion automatique. Pour une instance accessible sur un réseau, désactivez l'auto-login (`LANGFLOW_AUTO_LOGIN=false`) et définissez un compte administrateur (variables `LANGFLOW_SUPERUSER` / `LANGFLOW_SUPERUSER_PASSWORD`). | | Données envoyées à un provider cloud | 🟡 selon le composant de modèle | Si le flow pointe sur un provider distant, les données transmises au modèle quittent votre infrastructure. Pour les traitements confidentiels, pointez sur [Ollama](https://www.osfria.fr/ollama.html) en local. | | Clés API stockées dans l'instance | 🟡 réel | Les *credentials* providers sont conservés côté Langflow. Protégez l'accès à l'interface et sauvegardez le volume de données. | | Failles critiques RCE 2026 — tenir à jour | 🔴 si instance non à jour | Plusieurs vulnérabilités critiques d'exécution de code à distance (RCE) ont été révélées en 2026 (dont une notée critique, CVSS ≈ 9,3), corrigées depuis. **Ne jamais exposer une instance Langflow sur Internet sans protection**, et **mettre à jour systématiquement** vers la version ≥ 1.9.0. Les instances accessibles sans authentification sont les premières cibles. Vérifiez aussi les performances sur de gros flux : Langflow peut ralentir avec des pipelines à très grand volume de données. | ### Sécurité - **Désactivez le login automatique avant exposition.** `LANGFLOW_AUTO_LOGIN=false` et un compte administrateur à mot de passe fort. - **HTTPS si accès multi-postes.** Reverse proxy (Nginx, Caddy) avec TLS ; ne publiez pas le port 7860 brut. - **Pas d'accès shell aux agents en production.** Les outils « Terminal » / « Bash » ouvrent un périmètre d'exécution très large. - **Auditez les flows et composants importés.** Relisez chaque Custom Component avant de l'activer. - **Isolez et sauvegardez.** Environnement virtuel dédié, volume de données sauvegardé (flows, credentials, bases vectorielles). ### Aller plus loin - [Flowise](https://www.osfria.fr/flowise.html) — l'équivalent côté JavaScript / TypeScript. - [Dify](https://www.osfria.fr/dify.html) — une plateforme d'applications LLM plus complète. - [Ollama](https://www.osfria.fr/ollama.html) — faire tourner le modèle en local sous Langflow. - [OSIALab](https://www.osfria.fr/osialab.html) — comparer Langflow avec n8n, Flowise et Dify. ### Sources - Site officiel : **langflow.org** - Code source : [github.com/langflow-ai/langflow](https://github.com/langflow-ai/langflow) - Documentation : [docs.langflow.org](https://docs.langflow.org) - Licence : [MIT License](https://github.com/langflow-ai/langflow/blob/main/LICENSE) (Copyright Langflow).