LangChain CVE-2025-68664: come i dati personali fuoriescono dalla tua pipeline RAG
Aggiornato per il 2026.
Una vulnerabilità critica è stata scoperta in LangChain alla fine del 2025. Il CVE è CVE-2025-68664. Il punteggio CVSS è 9,3 (Critico).
Prende di mira il codice di serializzazione di LangChain.
Cosa fa CVE-2025-68664
LangChain ha due funzioni di serializzazione: dumps() e dumpd(). Convertono gli oggetti Python in testo.
La vulnerabilità riguarda la gestione delle closure.
Quando LangChain serializza un callable, cattura il contesto della closure.
Un aggressore che controlla la risposta dell'LLM può attivare dumps(). La funzione legge quindi le variabili d'ambiente dal processo Python.
Il risultato è l'esposizione dei dati. Chiavi API, stringhe di connessione al database, segreti JWT e credenziali AWS possono comparire nell'output del modello.
Un aggressore che inietta testo in un documento sorgente RAG può leggere i tuoi segreti di produzione.
Versioni interessate: LangChain precedente alla 0.3.22 (Python). La versione 0.3.22 include la correzione.
I dati PyPI mostrano un uso diffuso di versioni precedenti fino a marzo 2026.
Come i dati personali fuoriescono nelle pipeline RAG
CVE-2025-68664 è drammatico. Ma è solo un caso di un problema più ampio.
I dati fuoriescono dalle pipeline RAG abitualmente. Non è necessario alcun aggressore.
Ecco una configurazione RAG enterprise standard.
Prima, l'ingestione. Si indicizzano i documenti aziendali in un archivio vettoriale. Si pensi a ticket di supporto, email dei clienti, contratti e documenti HR.
Gli archivi vettoriali più comuni sono Pinecone, Weaviate e pgvector.
Poi, il recupero. Un utente pone una domanda. Il sistema recupera i cinque frammenti più rilevanti dall'archivio.
Infine, la generazione. Quei frammenti vengono inviati a un LLM — GPT-4o, Claude o Gemini — come contesto.
Il secondo passaggio è il problema. I frammenti recuperati contengono tutto ciò che i documenti sorgente contenevano. Questo include:
- Nomi dei clienti, indirizzi email e numeri di telefono
- Valori contrattuali, numeri di conto e identificatori fiscali
- Dati salariali dei dipendenti e note di valutazione delle prestazioni
- Nomi di pazienti in note cliniche
- Numeri di documento di identità nazionale in fascicoli di immigrazione
Questi dati vengono inviati all'LLM così come sono. Possono comparire nell'output del modello.
Vengono registrati dal provider LLM. Rimangono nella cronologia delle conversazioni. Fluiscono nel tuo stack di osservabilità.
Non è necessario alcun attacco. È così che funziona il RAG per progettazione. Il design crea un rischio reale per la privacy.
68 schemi di segreti negli archivi documentali enterprise
Gli strumenti di sicurezza tracciano 68 schemi di segreti noti. Compaiono più spesso di quanto i team si aspettino.
Ecco i più comuni.
- ID chiave di accesso AWS (
AKIA...) - Chiavi API OpenAI (
sk-...) - Chiavi API Anthropic (
sk-ant-...) - URI di database (
postgresql://user:password@host/db) - Token JWT (intestazioni codificate in base64)
- Token di accesso personale GitHub
- Chiavi segrete Stripe (
sk_live_...) - Chiavi API SendGrid
- SID account Twilio e token di autenticazione
- Blocchi PEM di chiave privata
Un ticket di supporto potrebbe contenere una chiave API del cliente da una sessione di debug.
Un contratto potrebbe includere credenziali di database da un passaggio tecnico.
Un file di configurazione indicizzato per errore può esporre un intero archivio di segreti.
Quando questi file entrano in un archivio vettoriale senza sanificazione, ogni query può trasmettere i segreti all'LLM.
Potrebbero raggiungere anche l'utente finale.
Soluzione: anonimizzare prima dell'embedding
L'approccio corretto anonimizza i documenti prima del chunking e dell'embedding.
Questo passaggio è obbligatorio per qualsiasi sistema che gestisce dati dei clienti.
Ecco un esempio Python che utilizza l'API di anonym.legal:
import requests
import os
ANONYM_API_KEY = os.environ["ANONYM_API_KEY"]
ANONYM_BASE_URL = "https://anonym.legal/api"
def anonymize_before_embedding(text: str) -> tuple[str, dict]:
"""Anonimizza i dati personali prima dell'embedding."""
response = requests.post(
f"{ANONYM_BASE_URL}/presidio/anonymize",
json={
"text": text,
"language": "en",
"anonymizers": {
"DEFAULT": {"type": "replace", "new_value": "[REDACTED]"},
"PERSON": {"type": "mask", "masking_char": "*", "chars_to_mask": 4, "from_end": False},
"EMAIL_ADDRESS": {"type": "replace", "new_value": "[EMAIL]"},
"PHONE_NUMBER": {"type": "replace", "new_value": "[PHONE]"},
"CRYPTO": {"type": "replace", "new_value": "[SECRET]"},
"URL": {"type": "keep"},
}
},
headers={"Authorization": f"Bearer {ANONYM_API_KEY}"}
)
result = response.json()
return result["text"], result.get("items", [])
def build_rag_index(documents: list[str], vectorstore):
"""Costruisce un indice RAG con soli documenti puliti."""
anonymized_docs = []
for doc in documents:
clean_text, entities = anonymize_before_embedding(doc)
anonymized_docs.append(clean_text)
print(f"Rimosse {len(entities)} entità PII dal documento")
vectorstore.add_texts(anonymized_docs)
L'API di anonym.legal copre 285+ tipi di entità. Nomi, email, numeri di telefono, documenti di identità nazionali, chiavi API e URI di database vengono tutti rilevati.
Nulla di sensibile raggiunge l'archivio vettoriale. Quindi nulla di sensibile può trapelare agli utenti.
Consulta la guida per sviluppatori per i pattern di configurazione con LangChain e LlamaIndex.
Correggere CVE-2025-68664 subito
Se esegui LangChain precedente alla versione 0.3.22, aggiorna subito:
pip install "langchain>=0.3.22" "langchain-core>=0.3.22"
Dopo aver applicato la patch, verifica le configurazioni della chain per il rischio di injection. Ecco tre passaggi da eseguire.
Primo, convalidare i frammenti recuperati. Farlo prima che raggiungano l'LLM.
Rimuovere i contenuti che corrispondono a schemi di injection come ignora le istruzioni precedenti, system: o <INST>.
Secondo, anonimizzare prima dell'embedding. Questo riduce la superficie di attacco.
Se si verifica un'injection, i dati sensibili non sono lì per essere estratti.
Terzo, limitare i permessi della chain. Le chain LangChain non dovrebbero leggere variabili d'ambiente oltre a quelle necessarie.
Usare un account di servizio con ambito minimo.
I conti tornano
Il punteggio CVSS è 9,3. La correzione è una chiamata API per documento.
La combinazione di CVE-2025-68664 e il rischio generale dei dati RAG è una responsabilità reale.
La soluzione è chiara: anonimizzare al momento dell'ingestione, non al momento della query.
Consulta la panoramica sulla sicurezza e conformità per i requisiti RAG enterprise.
Fonti
- NVD CVE-2025-68664, CVSS 9,3, vulnerabilità di serializzazione LangChain
- Advisory di sicurezza LangChain, langchain-ai/langchain GitHub, 2025
- OWASP LLM Top 10: LLM01 Prompt Injection, LLM06 Divulgazione di informazioni sensibili
- Documentazione sui tipi di entità di anonym.legal — 285+ tipi supportati