LangChain CVE-2025-68664: Kaip ADA nuteka per jūsų RAG konvejerį
Atnaujinta 2026 m.
2025 m. pabaigoje LangChain buvo rastas kritinis defektas. CVE yra CVE-2025-68664. CVSS balas yra 9.3 (Kritinis).
Jis nukreiptas į LangChain serializavimo kodą.
Ką daro CVE-2025-68664
LangChain turi dvi serializavimo funkcijas: dumps() ir dumpd(). Jos konvertuoja Python objektus į tekstą.
Defektas yra uždarymo tvarkyme.
Kai LangChain serializuoja iškvietimą, jis fiksuoja uždarymo kontekstą.
Užpuolikas, valdantis LLM atsakymą, gali suaktyvinti dumps(). Funkcija tuomet nuskaito aplinkos kintamuosius iš Python proceso.
Rezultatas yra duomenų atskleidimas. API raktai, duomenų bazių eilutės, JWT paslaptys ir AWS kredencialai gali pasirodyti modelio išvestyje.
Užpuolikas, įterpiantis tekstą į RAG šaltinio dokumentą, gali perskaityti jūsų gamybos paslaptis.
Paveiktos versijos: LangChain žemiau 0.3.22 (Python). Versijoje 0.3.22 yra pataisymas.
PyPI duomenys rodo platų senesnių versijų naudojimą iki 2026 m. kovo.
Kaip ADA nuteka RAG konvejeriuose
CVE-2025-68664 yra dramatiškas. Tačiau tai tik vienas platesnės problemos atvejis.
Duomenys nuteka per RAG konvejerius reguliariai. Joks užpuolikas nereikalingas.
Štai standartinė įmonės RAG sąranka.
Pirma, įvedimas. Jūs indeksuojate įmonės dokumentus į vektorinę saugyklą. Mąstykite apie palaikymo bilietus, klientų el. laiškus, sutartis ir HR įrašus.
Dažniausios vektorinės saugyklos yra Pinecone, Weaviate ir pgvector.
Toliau, gavimas. Vartotojas užduoda klausimą. Sistema ištraukia penkis tinkamiausius fragmentus iš saugyklos.
Tada, generavimas. Tie fragmentai patenka į LLM — GPT-4o, Claude ar Gemini — kaip kontekstas.
Antrasis žingsnis yra problema. Gauti fragmentai laiko viską, ką laikė šaltinio dokumentai. Tai apima:
- Klientų vardus, el. pašto adresus ir telefono numerius
- Sutarčių vertes, sąskaitų numerius ir mokesčių identifikatorius
- Darbuotojų atlyginimų duomenis ir veiklos vertinimo pastabas
- Pacientų vardus klinikinėse pastabose
- Nacionalinius ID imigracijos failuose
Tie duomenys patenka į LLM kaip yra. Jie gali atsirasti modelio išvestyje.
Jie registruojami LLM tiekėjo. Jie sėdi jūsų pokalbių istorijoje. Jie teka į jūsų stebėjimo paketą.
Jokio puolimo nereikia. Taip RAG veikia pagal savo dizainą. Dizainas sukuria realią privatumo riziką.
68 slaptų šablonų įmonės dokumentų saugyklose
Saugumo įrankiai seka 68 žinomus slaptus šablonus. Jie atsiranda dažniau, nei komandos tikisi.
Stai dažniausi.
- AWS Access Key ID (
AKIA...) - OpenAI API raktai (
sk-...) - Anthropic API raktai (
sk-ant-...) - Duomenų bazių URI (
postgresql://user:password@host/db) - JWT žetonai (base64 koduoti antraštės)
- GitHub asmeniniai prieigos žetonai
- Stripe slapti raktai (
sk_live_...) - SendGrid API raktai
- Twilio paskyros SID ir autentifikavimo žetonai
- Privatūs PEM blokų raktai
Palaikymo biliete gali būti kliento API raktas iš derinimo sesijos.
Sutartyje gali būti duomenų bazės kredencialai iš techninio perdavimo.
Konfigūracijos failas, indeksuotas per klaidą, gali atskleisti visą paslapčių saugyklą.
Kai šie failai patenka į vektorinę saugyklą be sanitarizacijos, kiekviena užklausa gali perduoti paslaptis LLM.
Jos gali pasiekti ir galutinį vartotoją.
Ištaisykite: anoniminuokite prieš įterpinant
Teisingas metodas anoniminuoja dokumentus prieš fragmentavimą ir įterpinimą.
Šis žingsnis yra privalomas bet kuriai sistemai, tvarkančiai klientų duomenis.
Štai Python pavyzdys naudojant anonym.legal API:
import requests
import os
ANONYM_API_KEY = os.environ["ANONYM_API_KEY"]
ANONYM_BASE_URL = "https://anonym.legal/api"
def anonymize_before_embedding(text: str) -> tuple[str, dict]:
"""Anoniminuoti ADA prieš įterpinimą."""
response = requests.post(
f"{ANONYM_BASE_URL}/presidio/anonymize",
json={
"text": text,
"language": "en",
"anonymizers": {
"DEFAULT": {"type": "replace", "new_value": "[REDACTED]"},
"PERSON": {"type": "mask", "masking_char": "*", "chars_to_mask": 4, "from_end": False},
"EMAIL_ADDRESS": {"type": "replace", "new_value": "[EMAIL]"},
"PHONE_NUMBER": {"type": "replace", "new_value": "[PHONE]"},
"CRYPTO": {"type": "replace", "new_value": "[SECRET]"},
"URL": {"type": "keep"},
}
},
headers={"Authorization": f"Bearer {ANONYM_API_KEY}"}
)
result = response.json()
return result["text"], result.get("items", [])
def build_rag_index(documents: list[str], vectorstore):
"""Sukurti RAG indeksą tik su švariais dokumentais."""
anonymized_docs = []
for doc in documents:
clean_text, entities = anonymize_before_embedding(doc)
anonymized_docs.append(clean_text)
print(f"Pašalinta {len(entities)} ADA objektų iš dokumento")
vectorstore.add_texts(anonymized_docs)
anonym.legal API apima 285+ objektų tipų. Vardai, el. pašto adresai, telefono numeriai, nacionaliniai ID, API raktai ir duomenų bazių URI — visi aptikti.
Joks jautrus turinys nepasiekia vektorinės saugyklos. Todėl niekas jautrus negali nutekėti vartotojams.
Žr. kūrėjų gidą dėl LangChain ir LlamaIndex sąrankos šablonų.
Ištaisykite CVE-2025-68664 dabar
Jei vykdote LangChain žemiau 0.3.22, atnaujinkite dabar:
pip install "langchain>=0.3.22" "langchain-core>=0.3.22"
Pataisę patikrinkite savo grandžių konfigūracijas dėl injekcijos rizikos. Štai trys žingsniai, kuriuos reikia atlikti.
Pirma, patvirtinkite gautus fragmentus. Darykite tai prieš jiems pasiekiant LLM.
Pašalinkite turinį, atitinkantį injekcijos šablonus, tokius kaip ignore previous instructions, system: ar <INST>.
Antra, anoniminuokite prieš įterpinimą. Tai sumažina atakos paviršių.
Jei injekcija įvyksta, jautrus turinys nėra ten, kad būtų išgautas.
Trečia, apribokite grandžių teises. LangChain grandinės neturėtų nuskaityti aplinkos kintamųjų už to, ko joms reikia.
Naudokite paslaugos paskyrą su minimalia apimtimi.
Matematika yra paprasta
CVSS balas yra 9.3. Pataisymas yra vienas API iškvietimas per dokumentą.
CVE-2025-68664 ir bendros RAG duomenų rizikos derinys yra reali atsakomybė.
Sprendimas yra aiškus: anoniminuokite įvedimo metu, o ne užklausos metu.
Patikrinkite saugumo ir atitikties apžvalgą dėl įmonės RAG reikalavimų.
Šaltiniai
- NVD CVE-2025-68664, CVSS 9.3, LangChain serializavimo pažeidžiamumas
- LangChain saugumo patarimas, langchain-ai/langchain GitHub, 2025 m.
- OWASP LLM Top 10: LLM01 Prompt injekcija, LLM06 Jautrios informacijos atskleidimas
- anonym.legal objektų tipo dokumentacija — 285+ palaikomų objektų tipų