LangChain CVE-2025-68664: Kako osobni podaci cure kroz vas RAG pipeline
Azurirano za 2026.
Krajem 2025. otkrivena je kriticna ranjivost u LangChainu. CVE je CVE-2025-68664. CVSS ocjena je 9.3 (Kriticno).
Cilja LangChainov kod za serijalizaciju.
Sto CVE-2025-68664 cini
LangChain ima dvije funkcije za serijalizaciju: dumps() i dumpd(). Pretvaraju Python objekte u tekst.
Ranjivost je u rukovanju zatvaracima.
Kad LangChain serijalizira pozivljivi objekt, hvata kontekst zatvaraca.
Napadac koji kontrolira odgovor LLM-a moze pokrenuti dumps(). Funkcija tada cita varijable okruzenja iz Python procesa.
Rezultat je izlaganje podataka. API kljucevi, nizovi baze podataka, JWT tajne i AWS vjerodajnice mogu se pojaviti u izlazu modela.
Napadac koji ubrizgava tekst u RAG izvorni dokument moze procitati vase produkcijske tajne.
Zahvacene verzije: LangChain ispod 0.3.22 (Python). Verzija 0.3.22 sadrzi ispravak.
Podaci PyPI-ja pokazuju siroku upotrebu starijih verzija do ozujka 2026.
Kako osobni podaci cure u RAG pipeline-ima
CVE-2025-68664 je dramatican. Ali to je samo jedan slucaj sireg problema.
Podaci redovito cure kroz RAG pipeline-e. Napadac nije potreban.
Evo standardnog poslovnog RAG postavljanja.
Prvo, unos. Indeksirate dokumente tvrtke u vektorsku pohranu. Zamislite zahtjeve za podrsku, e-adrese korisnika, ugovore i HR zapise.
Uobicajene vektorske pohrane su Pinecone, Weaviate i pgvector.
Zatim, dohvat. Korisnik postavi pitanje. Sustav izvuce pet najrelevantnijih dijelova iz pohrane.
Potom, generiranje. Ti dijelovi idu LLM-u — GPT-4o, Claudeu ili Geminiju — kao kontekst.
Drugi korak je problem. Dohvaceni dijelovi sadrze sto god su izvorni dokumenti sadrzavali. To ukljucuje:
- Imena korisnika, e-adrese i telefonske brojeve
- Vrijednosti ugovora, brojeve racuna i porezne identifikatore
- Podatke o placi zaposlenika i biljezke o procjeni ucinkovitosti
- Imena pacijenata u klinickim biljeskama
- Nacionalne identifikacijske brojeve u imigracijskim datotekama
Ti podaci idu LLM-u kako jesu. Mogu se pojaviti u izlazu modela.
Biljezu ih davatelj LLM usluge. Nalaze se u povijesti razgovora. Teku u vas stek nadzora.
Napad nije potreban. Ovako RAG funkcionira po dizajnu. Dizajn stvara stvarni rizik za privatnost.
68 uzoraka tajni u poslovnim pohranama dokumenata
Sigurnosni alati prate 68 poznatih uzoraka tajni. Pojavljuju se cesce nego timovi ocekuju.
Evo najcescih.
- AWS Access Key ID-ovi (
AKIA...) - OpenAI API kljucevi (
sk-...) - Anthropic API kljucevi (
sk-ant-...) - URI-ji baze podataka (
postgresql://korisnik:lozinka@host/db) - JWT tokeni (base64-kodirani zaglavlja)
- GitHub Personal Access Tokeni
- Stripe tajni kljucevi (
sk_live_...) - SendGrid API kljucevi
- Twilio racunski SID-ovi i tokeni za autentikaciju
- Blokovi privatnog kljuca u PEM formatu
Zahtjev za podrsku mogao bi sadrzavati API kljuc korisnika iz sesije debugiranja.
Ugovor mogao bi ukljucivati vjerodajnice baze podataka iz tehnicke predaje.
Konfiguracijska datoteka indeksirana pogrjesom moze izloziti cijelu pohranu tajni.
Kad ove datoteke ustignu vektorsku pohranu bez sanitizacije, svaki upit moze proslijediti tajne LLM-u.
Mogu doseci i krajnjeg korisnika.
Ispravak: Anonimizacija prije ugradivanja
Ispravan pristup anonimizira dokumente prije dijeljenja i ugradivanja.
Ovaj korak je obvezan za svaki sustav koji rukuje podacima korisnika.
Evo Python primjera koristeci anonym.legal API:
import requests
import os
ANONYM_API_KEY = os.environ["ANONYM_API_KEY"]
ANONYM_BASE_URL = "https://anonym.legal/api"
def anonymize_before_embedding(text: str) -> tuple[str, dict]:
"""Anonimizacija osobnih podataka prije ugradivanja."""
response = requests.post(
f"{ANONYM_BASE_URL}/presidio/anonymize",
json={
"text": text,
"language": "en",
"anonymizers": {
"DEFAULT": {"type": "replace", "new_value": "[REDACTED]"},
"PERSON": {"type": "mask", "masking_char": "*", "chars_to_mask": 4, "from_end": False},
"EMAIL_ADDRESS": {"type": "replace", "new_value": "[EMAIL]"},
"PHONE_NUMBER": {"type": "replace", "new_value": "[PHONE]"},
"CRYPTO": {"type": "replace", "new_value": "[SECRET]"},
"URL": {"type": "keep"},
}
},
headers={"Authorization": f"Bearer {ANONYM_API_KEY}"}
)
result = response.json()
return result["text"], result.get("items", [])
def build_rag_index(documents: list[str], vectorstore):
"""Izgradnja RAG indeksa samo s cistim dokumentima."""
anonymized_docs = []
for doc in documents:
clean_text, entities = anonymize_before_embedding(doc)
anonymized_docs.append(clean_text)
print(f"Uklonjeno {len(entities)} entiteta osobnih podataka iz dokumenta")
vectorstore.add_texts(anonymized_docs)
anonym.legal API pokriva 285+ vrsta entiteta. Imena, e-adrese, telefonski brojevi, nacionalni identifikacijski dokumenti, API kljucevi i URI-ji baza podataka — sve se hvata.
Nissta osjetljivo ne doseze vektorsku pohranu. Stoga nista osjetljivo ne moze procuriti do korisnika.
Pogledajte vodic za programere za LangChain i LlamaIndex uzorke postavljanja.
Odmah ispravite CVE-2025-68664
Ako pokrecete LangChain ispod 0.3.22, azurirajte odmah:
pip install "langchain>=0.3.22" "langchain-core>=0.3.22"
Nakon zakrpanja, provjerite konfiguracije lanca zbog rizika od ubrizgavanja. Evo tri koraka za poduzimanje.
Prvo, validirajte dohvacene dijelove. Ucinite to prije nego dostignu LLM.
Uklonite sadrzaj koji odgovara uzorcima ubrizgavanja poput zanemari prethodne upute, system: ili <INST>.
Drugo, anonimizacijom prije ugradivanja. Ovo smanjuje povrsinu napada.
Ako dodje do ubrizgavanja, osjetljivi podaci nisu tamo da bi se izvukli.
Trece, ogranicite dozvole lanca. LangChain lanci ne bi trebali citati varijable okruzenja izvan onoga sto im treba.
Koristite servisni racun s minimalnim opsegom.
Matematika je jednostavna
CVSS ocjena je 9.3. Ispravak je jedan API poziv po dokumentu.
Kombinacija CVE-2025-68664 i opceg rizika od RAG podataka stvarna je obveza.
Rjesenje je jasno: anonimizacija pri unosu, a ne u trenutku upita.
Provjerite pregled sigurnosti i uskladjenosti za zahtjeve poslovnog RAG-a.
Izvori
- NVD CVE-2025-68664, CVSS 9.3, ranjivost serijalizacije LangChaina
- LangChain sigurnosno upozorenje, langchain-ai/langchain GitHub, 2025.
- OWASP LLM Top 10: LLM01 Ubrizgavanje prompta, LLM06 Otkrivanje osjetljivih informacija
- anonym.legal dokumentacija vrsta entiteta — 285+ podrzanih vrsta entiteta