LangChain CVE-2025-68664: jak PII uniká přes váš RAG pipeline
Aktualizováno pro rok 2026.
Koncem roku 2025 byla v LangChainu nalezena kritická zranitelnost. CVE je CVE-2025-68664. Skóre CVSS je 9,3 (kritické).
Cílí na serializační kód LangChainu.
Co dělá CVE-2025-68664
LangChain má dvě serializační funkce: dumps() a dumpd(). Převádějí Python objekty na text.
Chyba spočívá ve zpracování uzávěrů.
Když LangChain serializuje callable, zachycuje kontext uzávěru.
Útočník, který kontroluje odpověď LLM, může spustit dumps(). Funkce poté čte proměnné prostředí z Python procesu.
Výsledkem je expozice dat. API klíče, databázové řetězce, JWT tajné klíče a AWS přihlašovací údaje mohou aparecer ve výstupu modelu.
Útočník, který vloží text do zdrojového dokumentu RAG, může číst vaše produkční tajné klíče.
Postižené verze: LangChain pod 0.3.22 (Python). Verze 0.3.22 obsahuje opravu.
Data PyPI ukazují rozšířené používání starších verzí přes celý březen 2026.
Jak PII uniká v RAG pipeline
CVE-2025-68664 je dramatická chyba. Ale jde jen o jeden případ širšího problému.
Data z RAG pipeline unikají rutinně. Útočník není potřeba.
Zde je standardní podnikový RAG setup.
Nejprve ingestion. Indexujete firemní dokumenty do vektorového úložiště. Myslíte support tickety, e-maily zákazníků, smlouvy a HR záznamy.
Běžná vektorová úložiště jsou Pinecone, Weaviate a pgvector.
Poté retrieval. Uživatel položí otázku. Systém vytáhne pět nejrelevantnějších chunks z úložiště.
Pak generation. Tyto chunks jdou do LLM — GPT-4o, Claude nebo Gemini — jako kontext.
Druhý krok je problém. Načtené chunks obsahují vše, co obsahovaly zdrojové dokumenty. To zahrnuje:
- Jména zákazníků, e-mailové adresy a telefonní čísla
- Hodnoty smluv, čísla účtů a daňové identifikátory
- Mzdová data zaměstnanců a poznámky z hodnocení výkonu
- Jména pacientů v klinických poznámkách
- Čísla národních identifikátorů v imigračních spisech
Tato data jdou do LLM tak jak jsou. Mohou se objevit ve výstupu modelu.
Zaznamenávají je poskytovatelé LLM. Sedí v historii konverzací. Proudí do vašeho observability stacku.
Žádný útok není potřeba. Takto RAG funguje svým designem. Tento design vytváří reálné riziko pro soukromí.
68 vzorů tajných klíčů v podnikových úložištích dokumentů
Bezpečnostní nástroje sledují 68 známých vzorů tajných klíčů. Vyskytují se v dokumentech častěji, než týmy očekávají.
Zde jsou nejběžnější z nich.
- AWS Access Key ID (
AKIA...) - API klíče OpenAI (
sk-...) - API klíče Anthropic (
sk-ant-...) - Databázové URI (
postgresql://user:password@host/db) - JWT tokeny (base64-kódované hlavičky)
- GitHub Personal Access Tokeny
- Stripe tajné klíče (
sk_live_...) - API klíče SendGrid
- SID účtů Twilio a autentizační tokeny
- PEM bloky soukromých klíčů
Support ticket může obsahovat API klíč zákazníka z ladící relace.
Smlouva může zahrnovat databázové přihlašovací údaje z technického předání.
Konfigurační soubor indexovaný omylem může odhalit celé úložiště tajných klíčů.
Když tyto soubory vstoupí do vektorového úložiště bez sanitizace, každý dotaz může předat tajné klíče LLM.
Mohou dosáhnout i koncového uživatele.
Oprava: anonymizujte před vložením do embeddings
Správ přístup anonymizuje dokumenty před chunking a embedding.
Tento krok je povinný pro jakýkoli systém, který zpracovává zákaznická data.
Zde je příklad v Pythonu využívající anonym.legal API:
import requests
import os
ANONYM_API_KEY = os.environ["ANONYM_API_KEY"]
ANONYM_BASE_URL = "https://anonym.legal/api"
def anonymize_before_embedding(text: str) -> tuple[str, dict]:
"""Anonymize PII before embedding."""
response = requests.post(
f"{ANONYM_BASE_URL}/presidio/anonymize",
json={
"text": text,
"language": "en",
"anonymizers": {
"DEFAULT": {"type": "replace", "new_value": "[REDACTED]"},
"PERSON": {"type": "mask", "masking_char": "*", "chars_to_mask": 4, "from_end": False},
"EMAIL_ADDRESS": {"type": "replace", "new_value": "[EMAIL]"},
"PHONE_NUMBER": {"type": "replace", "new_value": "[PHONE]"},
"CRYPTO": {"type": "replace", "new_value": "[SECRET]"},
"URL": {"type": "keep"},
}
},
headers={"Authorization": f"Bearer {ANONYM_API_KEY}"}
)
result = response.json()
return result["text"], result.get("items", [])
def build_rag_index(documents: list[str], vectorstore):
"""Build a RAG index with clean documents only."""
anonymized_docs = []
for doc in documents:
clean_text, entities = anonymize_before_embedding(doc)
anonymized_docs.append(clean_text)
print(f"Removed {len(entities)} PII entities from document")
vectorstore.add_texts(anonymized_docs)
anonym.legal API pokrývá více než 285 typů entit. Jména, e-maily, telefonní čísla, národní identifikátory, API klíče a databázová URI jsou všechna zachycena.
Nic citlivého nedosáhne vektorového úložiště. Takže nic citlivého nemůže uniknout k uživatelům.
Viz průvodce pro vývojáře pro vzory nastavení LangChain a LlamaIndex.
Opravte CVE-2025-68664 ihned
Pokud spouštíte LangChain pod verzí 0.3.22, aktualizujte nyní:
pip install "langchain>=0.3.22" "langchain-core>=0.3.22"
Po opravě zkontrolujte konfiguraci chain pro riziko injection. Zde jsou tři kroky, které je třeba podniknout.
Zaprvé, validujte načtené chunks. Udělejte to předtím, než dosáhnou LLM.
Odfiltrujte obsah odpovídající vzorům injection, jako jsou ignore previous instructions, system: nebo <INST>.
Zadruhé, anonymizujte před embedding. To zmenší útočnou plochu.
Pokud k injection dojde, citlivá data tam nejsou a nelze je extrahovat.
Zatřetí, omezte oprávnění chain. LangChain chain by neměly číst proměnné prostředí nad rámec toho, co potřebují.
Použijte service account s minimálním rozsahem.
Matematika je jednoduchá
Skóre CVSS je 9,3. Oprava je jedno API volání na dokument.
Kombinace CVE-2025-68664 a obecného rizika úniku dat RAG je reálnou právní odpovědností.
Řešení je jasné: anonymizujte při ingestion, ne v době dotazu.
Viz přehled bezpečnosti a compliance pro požadavky na podnikový RAG.
Zdroje
- NVD CVE-2025-68664, CVSS 9,3, zranitelnost serializace LangChain
- Bezpečnostní upozornění LangChain, langchain-ai/langchain GitHub, 2025
- OWASP LLM Top 10: LLM01 Prompt Injection, LLM06 Sensitive Information Disclosure
- Dokumentace typů entit anonym.legal — více než 285 podporovaných typů entit