LangChain CVE-2025-68664: Како личните податоци протекуваат низ вашиот RAG Pipeline
Ажурирано за 2026 година.
Критичен недостаток беше пронајден во LangChain кон крајот на 2025 година. CVE е CVE-2025-68664. CVSS оценката е 9,3 (Критично).
Таргетира го кодот за серијализација на LangChain.
Што прави CVE-2025-68664
LangChain има две функции за серијализација: `dumps()` и `dumpd()`. Тие конвертираат Python објекти во текст.
Недостатокот е во ракувањето со затворачи (closures).
Кога LangChain серијализира callable, го зафаќа контекстот на затворачот.
Напаѓач кој го контролира одговорот на LLM може да активира `dumps()`. Функцијата потоа ги чита променливите на околината од Python процесот.
Резултатот е изложување на податоци. API клучеви, низи за бази на податоци, JWT тајни и AWS акредитиви можат да се појават во излезот на моделот.
Напаѓач кој инјектира текст во изворен документ на RAG може да ги прочита вашите производствени тајни.
Засегнати верзии: LangChain под 0.3.22 (Python). Верзијата 0.3.22 го содржи поправкот.
Податоците на PyPI покажуваат широка употреба на постарите верзии низ март 2026 година.
Како личните податоци протекуваат во RAG Pipeline-овите
CVE-2025-68664 е драматичен. Но тоа е само еден случај на поширок проблем.
Податоците протекуваат низ RAG pipeline-овите рутински. Не е потребен напаѓач.
Ево стандардна претпријатиска RAG поставка.
Прво, индексирање. Ги индексирате документите на компанијата во вектор складиште. Замислете барања за поддршка, е-пошти на клиенти, договори и записи за вработени.
Вообичаени вектор складишта се Pinecone, Weaviate и pgvector.
Следно, пронаоѓање. Корисник поставува прашање. Системот ги повлекува петте нај-релевантни делови од складиштето.
Потоа, генерирање. Тие делови одат на LLM — GPT-4o, Claude или Gemini — како контекст.
Чекорот два е проблемот. Повратените делови содржат сé она што го содржеле изворните документи. Тоа вклучува:
- Имиња на клиенти, е-адреси и телефонски броеви
- Вредности на договори, броеви на сметки и даночни идентификатори
- Податоци за плати на вработени и белешки за оценување на работниот учинок
- Имиња на пациенти во клинички белешки
- Броеви на национални идентификатори во досиеа за имиграција
Тие податоци одат на LLM такви какви се. Можат да се појават во излезот на моделот.
Ги логира провајдерот на LLM. Седат во историјата на вашиот разговор. Течат во вашиот stack за набљудување.
Не е потребен напад. Вака работи RAG по дизајн. Дизајнот создава реален ризик за приватноста.
68 Тајни обрасци во претпријатиски складишта на документи
Безбедносните алатки следат 68 познати тајни обрасци. Се јавуваат почесто отколку тимовите очекуваат.
Еве ги нај-честите.
- AWS Access Key ID-ови (`AKIA...`)
- OpenAI API клучеви (`sk-...`)
- Anthropic API клучеви (`sk-ant-...`)
- URI-ови на бази на податоци (`postgresql://user:password@host/db`)
- JWT токени (base64-кодирани заглавја)
- GitHub Personal Access токени
- Stripe тајни клучеви (`sk_live_...`)
- SendGrid API клучеви
- Twilio SID-ови на сметки и auth токени
- Приватни клучеви во PEM блокови
Барање за поддршка може да содржи API клуч на клиент од сесија за дебагирање.
Договор може да вклучи акредитиви за база на податоци од техничко предавање.
Конфигурациска датотека индексирана по грешка може да изложи цело складиште на тајни.
Кога овие датотеки влегуваат во вектор складиштето без санитација, секој упит може да ги пренесе тајните на LLM.
Можат да стигнат и до крајниот корисник.
Поправете го: Анонимизирајте пред вградување
Правилниот пристап ги анонимизира документите пред делење и вградување.
Овој чекор е задолжителен за секој систем кој ракува со податоци за клиенти.
Еве пример во Python со anonym.legal API:
```python import requests import os
ANONYM_API_KEY = os.environ["ANONYM_API_KEY"] ANONYM_BASE_URL = "https://anonym.legal/api"
def anonymize_before_embedding(text: str) -> tuple[str, dict]: """Анонимизирајте PII пред вградување.""" response = requests.post( f"{ANONYM_BASE_URL}/presidio/anonymize", json={ "text": text, "language": "en", "anonymizers": { "DEFAULT": {"type": "replace", "new_value": "[REDACTED]"}, "PERSON": {"type": "mask", "masking_char": "*", "chars_to_mask": 4, "from_end": False}, "EMAIL_ADDRESS": {"type": "replace", "new_value": "[EMAIL]"}, "PHONE_NUMBER": {"type": "replace", "new_value": "[PHONE]"}, "CRYPTO": {"type": "replace", "new_value": "[SECRET]"}, "URL": {"type": "keep"}, } }, headers={"Authorization": f"Bearer {ANONYM_API_KEY}"} ) result = response.json() return result["text"], result.get("items", [])
def build_rag_index(documents: list[str], vectorstore): """Изградете RAG индекс само со чисти документи.""" anonymized_docs = [] for doc in documents: clean_text, entities = anonymize_before_embedding(doc) anonymized_docs.append(clean_text) print(f"Отстранети {len(entities)} PII ентитети од документот") vectorstore.add_texts(anonymized_docs) ```
anonym.legal API покрива 285+ типови ентитети. Имиња, е-адреси, телефонски броеви, национални идентификатори, API клучеви и URI-ови на бази на податоци сите се фаќаат.
Ништо чувствително не стигнува до вектор складиштето. Така ништо чувствително не може да протече до корисниците.
Видете го водичот за програмери за обрасци за поставување LangChain и LlamaIndex.
Поправете го CVE-2025-68664 веднаш
Ако извршувате LangChain под 0.3.22, ажурирајте сега:
```bash pip install "langchain>=0.3.22" "langchain-core>=0.3.22" ```
По закрпувањето, проверете ги вашите конфигурации на ланец за ризик од инјекција. Еве три чекори кои треба да ги преземете.
Прво, валидирајте ги повратените делови. Направете го ова пред да стигнат до LLM.
Отстранете содржина која одговара на обрасци за инјекција како `ignore previous instructions`, `system:` или `<INST>`.
Второ, анонимизирајте пред вградување. Ова ја намалува површината на напад.
Ако дојде до инјекција, чувствителните податоци не се таму да се извлечат.
Трето, ограничете ги дозволите на ланецот. LangChain ланците не би требало да читаат променливи на околината надвор од она што им треба.
Користете сервисна сметка со минимален обем.
Математиката е едноставна
CVSS оценката е 9,3. Поправкот е еден API повик по документ.
Комбинацијата на CVE-2025-68664 и општиот ризик на RAG податоци е реална одговорност.
Решението е јасно: анонимизирајте при индексирање, а не при барање.
Проверете го прегледот на безбедност и усогласеност за барања за претпријатиски RAG.
Извори
- NVD CVE-2025-68664, CVSS 9,3, Ранливост на серијализација на LangChain
- Безбедносна препорака на LangChain, langchain-ai/langchain GitHub, 2025
- OWASP LLM Top 10: LLM01 Инјекција на Prompt, LLM06 Откривање на чувствителни информации
- Документација за типови ентитети на anonym.legal — 285+ поддржани типови ентитети