LangChain CVE-2025-68664: Kako PII curi kroz vas RAG cjevovod
Azurirano za 2026.
Krticna greska pronadjena je u LangChainu krajem 2025. CVE je CVE-2025-68664. CVSS rezultat je 9.3 (Kritican).
Cilja LangChain-ov kod za serijalizaciju.
Sta radi CVE-2025-68664
LangChain ima dvije funkcije za serijalizaciju: dumps() i dumpd(). Konvertuju Python objekte u tekst.
Greska je u rukovanju zatvorenjem.
Kada LangChain serijalizuje pozivni, hvata kontekst zatvorenja.
Napadac koji kontrolise odgovor LLM-a moze pokrenuti dumps(). Funkcija tada cita varijable okruzenja iz Python procesa.
Rezultat je izlaganje podataka. API kljucevi, niske baze podataka, JWT tajne i AWS akredentivi mogu se pojaviti u izlazu modela.
Napadac koji ubrizgava tekst u izvorni dokument RAG-a moze procitati vase produkcijske tajne.
Zahvacene verzije: LangChain ispod 0.3.22 (Python). Verzija 0.3.22 ima popravku.
PyPI podaci pokazuju siroku upotrebu starijih verzija do marta 2026.
Kako PII curi u RAG cjevovodima
CVE-2025-68664 je dramatican. Ali to je samo jedan slucaj sireg problema.
Podaci curuju kroz RAG cjevovode rutinski. Napadac nije potreban.
Evo standardnog enterprise RAG postava.
Prvo, unos. Indeksirate dokumente kompanije u vektorsko skladiste. Razmislite o tiketima podrske, emailovima klijenata, ugovorima i HR zapisima.
Uobicajena vektorska skladista su Pinecone, Weaviate i pgvector.
Zatim, preuzimanje. Korisnik postavlja pitanje. Sistem povlaci pet najrelevantnijih fragmenata iz skladista.
Potom, generisanje. Ti fragmenti idu na LLM -- GPT-4o, Claude ili Gemini -- kao kontekst.
Drugi korak je problem. Preuzeti fragmenti sadrze sve sto su izvorni dokumenti sadrzali. To ukljucuje:
- Imena klijenata, email adrese i brojeve telefona
- Vrijednosti ugovora, brojeve naloga i poreske identifikatore
- Podatke o platama zaposlenih i biljeskama o pregledu performansi
- Imena pacijenata u klinickim biljeskama
- Brojeve nacionalnih ID-ova u imigracionim datotekama
Ti podaci idu na LLM kakvi jesu. Mogu se pojaviti u izlazu modela.
Evidentirani su od strane LLM dobavljaca. Sjede u vasoj istoriji razgovora. Teku u vas stek za posmatranje.
Napad nije potreban. Ovako RAG radi po dizajnu. Dizajn stvara pravi rizik za privatnost.
68 tajnih obrazaca u enterprise skladistima dokumenata
Bezbjednosni alati prate 68 poznatih tajnih obrazaca. Pojavljuju se cesce nego sto timovi ocekuju.
Evo najcescih.
- AWS Access Key ID-ovi (
AKIA...) - OpenAI API kljucevi (
sk-...) - Anthropic API kljucevi (
sk-ant-...) - URI-ji baze podataka (
postgresql://korisnik:lozinka@host/db) - JWT tokeni (base64-kodirani zaglavlja)
- GitHub Personal Access Tokeni
- Stripe tajni kljucevi (
sk_live_...) - SendGrid API kljucevi
- Twilio SID-ovi naloga i autentifikacioni tokeni
- Privatni kljucni PEM blokovi
Tiket podrske moze sadrzavati API kljuc klijenta iz sesije otklanjanja gresaka.
Ugovor moze ukljucivati akreditive baze podataka iz tehnicke predaje.
Konfiguracijska datoteka indeksirana greskon moze izloziti cijelo skladiste tajni.
Kada ove datoteke odu u vektorsko skladiste bez sanitizacije, svaki upit moze proslijediti tajne LLM-u.
Mogu doseci krajnjeg korisnika takodje.
Popravite: Anonimizujte prije ugradnje
Ispravni pristup anonimizuje dokumente prije fragmentiranja i ugradnje.
Ovaj korak je obavezan za svaki sistem koji obradjuje podatke klijenata.
Evo Python primjera koristeci anonym.legal API:
import requests
import os
ANONYM_API_KEY = os.environ["ANONYM_API_KEY"]
ANONYM_BASE_URL = "https://anonym.legal/api"
def anonymize_before_embedding(text: str) -> tuple[str, dict]:
"""Anonimizujte PII prije ugradnje."""
response = requests.post(
f"{ANONYM_BASE_URL}/presidio/anonymize",
json={
"text": text,
"language": "en",
"anonymizers": {
"DEFAULT": {"type": "replace", "new_value": "[REDACTED]"},
"PERSON": {"type": "mask", "masking_char": "*", "chars_to_mask": 4, "from_end": False},
"EMAIL_ADDRESS": {"type": "replace", "new_value": "[EMAIL]"},
"PHONE_NUMBER": {"type": "replace", "new_value": "[PHONE]"},
"CRYPTO": {"type": "replace", "new_value": "[SECRET]"},
"URL": {"type": "keep"},
}
},
headers={"Authorization": f"Bearer {ANONYM_API_KEY}"}
)
result = response.json()
return result["text"], result.get("items", [])
def build_rag_index(documents: list[str], vectorstore):
"""Izgradite RAG indeks samo sa cistim dokumentima."""
anonymized_docs = []
for doc in documents:
clean_text, entities = anonymize_before_embedding(doc)
anonymized_docs.append(clean_text)
print(f"Uklonjeno {len(entities)} PII entiteta iz dokumenta")
vectorstore.add_texts(anonymized_docs)
anonym.legal API pokriva 285+ vrsta entiteta. Imena, emailovi, brojevi telefona, nacionalni ID-ovi, API kljucevi i URI-ji baze podataka se svi hvataju.
Nista osjetljivo ne doseze vektorsko skladiste. Dakle, nista osjetljivo ne moze procuriti korisnicima.
Pogledajte vodic za programere za LangChain i LlamaIndex obrasce podesavanja.
Popravite CVE-2025-68664 odmah
Ako pokrece LangChain ispod 0.3.22, azurirajte odmah:
pip install "langchain>=0.3.22" "langchain-core>=0.3.22"
Nakon krpljenja, provjerite konfiguracije vasa lanca za rizik od ubrizgavanja. Evo tri koraka.
Prvo, validirajte preuzete fragmente. Uradite ovo prije nego sto dospeju do LLM-a.
Uklonite sadrzaj koji odgovara obrascima ubrizgavanja kao sto su zanemari prethodna uputstva, system: ili <INST>.
Drugo, anonimizujte prije ugradnje. Ovo smanjuje povrsinu napada.
Ako dodje do ubrizgavanja, osjetljivi podaci tamo nisu.
Trece, ogranicite dozvole lanca. LangChain lanci ne bi trebali citati varijable okruzenja osim onoga sto im je potrebno.
Koristite servisni nalog sa minimalnim opsegom.
Matematika je jednostavna
CVSS rezultat je 9.3. Popravka je jedan API poziv po dokumentu.
Kombinacija CVE-2025-68664 i opsteg rizika RAG podataka je pravi pravni rizik.
Rjesenje je jasno: anonimizujte pri unosu, a ne u trenutku upita.
Pogledajte pregled bezbjednosti i uskladjenosti za enterprise RAG zahtjeve.
Izvori
- NVD CVE-2025-68664, CVSS 9.3, LangChain ranjivost serijalizacije
- LangChain bezbjednosno savjetovanje, langchain-ai/langchain GitHub, 2025.
- OWASP LLM Top 10: LLM01 Ubrizgavanje uputa, LLM06 Otkrivanje osjetljivih informacija
- anonym.legal dokumentacija vrsta entiteta -- 285+ podrzanih vrsta entiteta