LangChain CVE-2025-68664: Sådan lækker PII igennem din RAG-pipeline
Opdateret for 2026.
En kritisk fejl blev fundet i LangChain i slutningen af 2025. CVE'en er CVE-2025-68664. CVSS-scoren er 9,3 (Kritisk).
Den rammer LangChains serialiseringskode.
Hvad CVE-2025-68664 gør
LangChain har to serialiseringsfunktioner: dumps() og dumpd(). De konverterer Python-objekter til tekst.
Fejlen er i håndteringen af closures.
Når LangChain serialiserer et callable, opfanger det closure-konteksten.
En angriber, der kontrollerer LLM-svaret, kan udløse dumps(). Funktionen læser derefter miljøvariabler fra Python-processen.
Resultatet er dataeksponering. API-nøgler, databasestrenge, JWT-hemmeligheder og AWS-legitimationsoplysninger kan optræde i modeloutput.
En angriber, der injicerer tekst i et RAG-kildedokument, kan læse dine produktionshemmeligheder.
Berørte versioner: LangChain under 0.3.22 (Python). Version 0.3.22 har rettelsen.
PyPI-data viser udbredt brug af ældre versioner frem til marts 2026.
Sådan lækker PII i RAG-pipelines
CVE-2025-68664 er dramatisk. Men det er blot ét eksempel på et bredere problem.
Data lækker regelmæssigt igennem RAG-pipelines. Ingen angriber er nødvendig.
Her er en standard enterprise RAG-opsætning.
Først injektion. Du indekserer virksomhedsdokumenter i et vektorlager. Tænk supportbilletter, kunde-e-mails, kontrakter og HR-optegnelser.
Almindelige vektorlagre er Pinecone, Weaviate og pgvector.
Derefter hentning. En bruger stiller et spørgsmål. Systemet henter de fem mest relevante uddrag fra lageret.
Så generering. Disse uddrag sendes til en LLM — GPT-4o, Claude eller Gemini — som kontekst.
Trin to er problemet. Hentede uddrag indeholder, hvad kildedokumenterne indeholdt. Det inkluderer:
- Kundenavne, e-mailadresser og telefonnumre
- Kontraktværdier, kontonumre og skatteidentifikatorer
- Medarbejderløndata og notater fra medarbejdervurderinger
- Patientnavne i kliniske noter
- Nationale ID-numre i immigrationsfiler
De data sendes til LLM'en som de er. De kan optræde i modeloutput.
De logges af LLM-udbyderen. De sidder i din samtaleoversigt. De strømmer ind i dit observabilitetssystem.
Ingen angreb er nødvendig. Sådan fungerer RAG by design. Designet skaber reel privatlivsrisiko.
68 hemmelighedsmønstre i enterprise-dokumentlagre
Sikkerhedsværktøjer sporer 68 kendte hemmelighedsmønstre. De optræder oftere, end teams forventer.
Her er de mest almindelige.
- AWS Access Key IDs (
AKIA...) - OpenAI API-nøgler (
sk-...) - Anthropic API-nøgler (
sk-ant-...) - Database-URI'er (
postgresql://bruger:adgangskode@vært/db) - JWT-tokens (base64-kodede headers)
- GitHub Personal Access Tokens
- Stripe-hemmelige nøgler (
sk_live_...) - SendGrid API-nøgler
- Twilio konto-SID'er og auth-tokens
- Private nøgle PEM-blokke
En supportbillet kan indeholde en kunde-API-nøgle fra en fejlsøgningssession.
En kontrakt kan indeholde databaseoplysninger fra en teknisk overdragelse.
En konfigurationsfil, der ved en fejl er indekseret, kan eksponere et helt hemmelighedslager.
Når disse filer indgår i et vektorlager uden rensning, kan enhver forespørgsel sende hemmelighederne til LLM'en.
De kan også nå slutbrugeren.
Løsningen: Anonymiser inden indlejring
Den rigtige tilgang anonymiserer dokumenter inden opdeling i uddrag og indlejring.
Dette trin er påkrævet for ethvert system, der håndterer kundedata.
Her er et Python-eksempel ved hjælp af anonym.legal API'et:
import requests
import os
ANONYM_API_KEY = os.environ["ANONYM_API_KEY"]
ANONYM_BASE_URL = "https://anonym.legal/api"
def anonymize_before_embedding(text: str) -> tuple[str, dict]:
"""Anonymiser PII inden indlejring."""
response = requests.post(
f"{ANONYM_BASE_URL}/presidio/anonymize",
json={
"text": text,
"language": "en",
"anonymizers": {
"DEFAULT": {"type": "replace", "new_value": "[REDACTED]"},
"PERSON": {"type": "mask", "masking_char": "*", "chars_to_mask": 4, "from_end": False},
"EMAIL_ADDRESS": {"type": "replace", "new_value": "[EMAIL]"},
"PHONE_NUMBER": {"type": "replace", "new_value": "[PHONE]"},
"CRYPTO": {"type": "replace", "new_value": "[SECRET]"},
"URL": {"type": "keep"},
}
},
headers={"Authorization": f"Bearer {ANONYM_API_KEY}"}
)
result = response.json()
return result["text"], result.get("items", [])
def build_rag_index(documents: list[str], vectorstore):
"""Byg et RAG-indeks med kun rene dokumenter."""
anonymized_docs = []
for doc in documents:
clean_text, entities = anonymize_before_embedding(doc)
anonymized_docs.append(clean_text)
print(f"Fjernede {len(entities)} PII-enheder fra dokument")
vectorstore.add_texts(anonymized_docs)
anonym.legal API'et dækker 285+ enhedstyper. Navne, e-mails, telefonnumre, nationale ID'er, API-nøgler og database-URI'er fanges alle.
Intet følsomt når vektorlageret. Så intet følsomt kan lække til brugerne.
Se udviklervejledningen for LangChain- og LlamaIndex-opsætningsmønstre.
Ret CVE-2025-68664 nu
Hvis du kører LangChain under 0.3.22, opdater nu:
pip install "langchain>=0.3.22" "langchain-core>=0.3.22"
Efter patchning skal du tjekke dine chain-konfigurationer for injektionsrisiko. Her er tre trin at tage.
For det første, valider hentede uddrag. Gør dette, inden de når LLM'en.
Fjern indhold, der matcher injektionsmønstre som ignore previous instructions, system: eller <INST>.
For det andet, anonymiser inden indlejring. Dette mindsker angrebsfladen.
Hvis injektion opstår, er de følsomme data ikke til stede for at blive udtrukket.
For det tredje, begræns chain-tilladelser. LangChain-chains bør ikke læse miljøvariabler ud over, hvad de har brug for.
Brug en tjenestekonto med minimalt omfang.
Matematikken er enkel
CVSS-scoren er 9,3. Rettelsen er ét API-kald pr. dokument.
Kombinationen af CVE-2025-68664 og generel RAG-datarisiko er et reelt ansvar.
Løsningen er klar: anonymiser ved injektion, ikke ved forespørgselstidspunktet.
Tjek sikkerheds- og overholdelsesoversigtssiden for enterprise RAG-krav.
Kilder
- NVD CVE-2025-68664, CVSS 9,3, LangChain serialiseringssårbarhed
- LangChain sikkerhedsrådgivning, langchain-ai/langchain GitHub, 2025
- OWASP LLM Top 10: LLM01 Prompt Injection, LLM06 Sensitive Information Disclosure
- anonym.legal dokumentation om enhedstyper — 285+ understøttede enhedstyper