LangChain CVE-2025-68664: jak dane osobowe wyciekają przez Twój potok RAG
Zaktualizowano na 2026 rok.
Pod koniec 2025 roku odkryto krytyczną lukę w LangChain. Jej identyfikator to CVE-2025-68664, a wynik CVSS to 9,3 (Krytyczny).
Luka dotyczy kodu serializacji LangChain.
Co robi CVE-2025-68664
LangChain posiada dwie funkcje serializacji: dumps() i dumpd(). Konwertują one obiekty Pythona na tekst.
Luka tkwi w obsłudze domknięć (closures).
Kiedy LangChain serializuje obiekt wywoływalny, przechwytuje kontekst domknięcia.
Atakujący kontrolujący odpowiedź LLM może wywołać dumps(). Funkcja odczytuje wówczas zmienne środowiskowe z procesu Pythona.
Rezultatem jest ujawnienie danych. Klucze API, ciągi połączeń z bazą danych, sekrety JWT i dane uwierzytelniające AWS mogą pojawić się w wyjściu modelu.
Atakujący, który wstrzyknie tekst do dokumentu źródłowego RAG, może odczytać Twoje produkcyjne sekrety.
Dotknięte wersje: LangChain poniżej 0.3.22 (Python). Wersja 0.3.22 zawiera poprawkę.
Dane z PyPI wskazują na szerokie użycie starszych wersji do marca 2026 roku.
Jak dane osobowe wyciekają w potokach RAG
CVE-2025-68664 jest spektakularne. Jest jednak tylko jednym przykładem szerszego problemu.
Dane wyciekają przez potoki RAG rutynowo. Żaden atakujący nie jest potrzebny.
Oto typowa korporacyjna konfiguracja RAG.
Po pierwsze, pozyskiwanie danych. Indeksujesz dokumenty firmowe w magazynie wektorów. Mogą to być zgłoszenia do wsparcia, wiadomości e-mail od klientów, umowy i dokumenty kadrowe.
Popularne magazyny wektorów to Pinecone, Weaviate i pgvector.
Następnie wyszukiwanie. Użytkownik zadaje pytanie. System pobiera pięć najbardziej trafnych fragmentów ze sklepu.
Potem generowanie. Fragmenty te trafiają do modelu LLM — GPT-4o, Claude lub Gemini — jako kontekst.
Krok drugi jest problemem. Pobrane fragmenty zawierają to, co zawierały dokumenty źródłowe. To może być:
- Imiona i nazwiska klientów, adresy e-mail i numery telefonów
- Wartości umów, numery kont i identyfikatory podatkowe
- Dane o wynagrodzeniach pracowników i oceny pracownicze
- Imiona i nazwiska pacjentów w notatkach klinicznych
- Numery dokumentów tożsamości w aktach imigracyjnych
Te dane trafiają do LLM w niezmienionej formie. Mogą pojawić się w wyjściu modelu.
Są rejestrowane przez dostawcę LLM. Przechowywane w historii konwersacji. Przepływają do stosu obserwowalności.
Żaden atak nie jest potrzebny. Tak właśnie działa RAG z założenia. Ten projekt tworzy realne ryzyko prywatności.
68 wzorców sekretów w korporacyjnych magazynach dokumentów
Narzędzia bezpieczeństwa śledzą 68 znanych wzorców sekretów. Pojawiają się częściej, niż zespoły się spodziewają.
Oto te najpowszechniejsze:
- Identyfikatory klucza dostępu AWS (
AKIA...) - Klucze API OpenAI (
sk-...) - Klucze API Anthropic (
sk-ant-...) - Ciągi URI baz danych (
postgresql://user:password@host/db) - Tokeny JWT (nagłówki kodowane w base64)
- Osobiste tokeny dostępu GitHub
- Tajne klucze Stripe (
sk_live_...) - Klucze API SendGrid
- Identyfikatory SID kont Twilio i tokeny uwierzytelniające
- Bloki PEM kluczy prywatnych
Zgłoszenie do wsparcia może zawierać klucz API klienta z sesji debugowania.
Umowa może zawierać dane uwierzytelniające do bazy danych z technicznego przekazania projektu.
Plik konfiguracyjny przypadkowo zaindeksowany może ujawnić cały magazyn sekretów.
Kiedy te pliki trafiają do magazynu wektorów bez oczyszczania, każde zapytanie może przekazać sekrety do modelu LLM.
Mogą też dotrzeć do końcowego użytkownika.
Jak to naprawić: anonimizuj przed embeddingiem
Właściwe podejście polega na anonimizacji dokumentów przed podziałem na fragmenty i embeddingiem.
Ten krok jest wymagany dla każdego systemu obsługującego dane klientów.
Oto przykład w Pythonie z użyciem API anonym.legal:
import requests
import os
ANONYM_API_KEY = os.environ["ANONYM_API_KEY"]
ANONYM_BASE_URL = "https://anonym.legal/api"
def anonymize_before_embedding(text: str) -> tuple[str, dict]:
"""Anonimizuj dane osobowe przed embeddingiem."""
response = requests.post(
f"{ANONYM_BASE_URL}/presidio/anonymize",
json={
"text": text,
"language": "en",
"anonymizers": {
"DEFAULT": {"type": "replace", "new_value": "[REDACTED]"},
"PERSON": {"type": "mask", "masking_char": "*", "chars_to_mask": 4, "from_end": False},
"EMAIL_ADDRESS": {"type": "replace", "new_value": "[EMAIL]"},
"PHONE_NUMBER": {"type": "replace", "new_value": "[PHONE]"},
"CRYPTO": {"type": "replace", "new_value": "[SECRET]"},
"URL": {"type": "keep"},
}
},
headers={"Authorization": f"Bearer {ANONYM_API_KEY}"}
)
result = response.json()
return result["text"], result.get("items", [])
def build_rag_index(documents: list[str], vectorstore):
"""Zbuduj indeks RAG zawierający wyłącznie czyste dokumenty."""
anonymized_docs = []
for doc in documents:
clean_text, entities = anonymize_before_embedding(doc)
anonymized_docs.append(clean_text)
print(f"Usunięto {len(entities)} encji danych osobowych z dokumentu")
vectorstore.add_texts(anonymized_docs)
API anonym.legal obejmuje ponad 285 typów encji. Imiona i nazwiska, adresy e-mail, numery telefonów, numery dokumentów tożsamości, klucze API i URI baz danych — wszystko jest wykrywane.
Żadne wrażliwe dane nie trafiają do magazynu wektorów. Nie mogą więc wyciec do użytkowników.
Zapoznaj się z przewodnikiem dla programistów, aby poznać wzorce konfiguracji dla LangChain i LlamaIndex.
Napraw CVE-2025-68664 teraz
Jeśli używasz LangChain poniżej wersji 0.3.22, zaktualizuj natychmiast:
pip install "langchain>=0.3.22" "langchain-core>=0.3.22"
Po zainstalowaniu poprawki sprawdź konfiguracje łańcuchów pod kątem ryzyka wstrzykiwania. Oto trzy kroki do podjęcia.
Po pierwsze, waliduj pobrane fragmenty zanim trafią do LLM.
Usuń treści pasujące do wzorców wstrzykiwania, takie jak ignore previous instructions, system: lub <INST>.
Po drugie, anonimizuj przed embeddingiem. To zmniejsza powierzchnię ataku.
Jeśli wstrzykiwanie mimo wszystko nastąpi, wrażliwych danych nie ma już tam, skąd można by je wydobyć.
Po trzecie, ogranicz uprawnienia łańcuchów. Łańcuchy LangChain nie powinny odczytywać zmiennych środowiskowych poza niezbędnym minimum.
Korzystaj z konta usługowego z minimalnym zakresem uprawnień.
Matematyka jest prosta
Wynik CVSS to 9,3. Poprawka to jedno wywołanie API na dokument.
Połączenie CVE-2025-68664 z ogólnym ryzykiem wycieku danych z RAG to realna odpowiedzialność prawna.
Rozwiązanie jest jasne: anonimizuj przy pozyskiwaniu danych, nie w czasie zapytania.
Sprawdź omówienie bezpieczeństwa i zgodności pod kątem wymagań dla korporacyjnego RAG.
Źródła
- NVD CVE-2025-68664, CVSS 9,3, luka serializacji LangChain
- Zalecenia bezpieczeństwa LangChain, langchain-ai/langchain GitHub, 2025
- OWASP LLM Top 10: LLM01 Prompt Injection, LLM06 Sensitive Information Disclosure
- Dokumentacja typów encji anonym.legal — ponad 285 obsługiwanych typów