LangChain CVE-2025-68664: Hur PII läcker genom din RAG-pipeline
Uppdaterat för 2026.
En kritisk sårbarhet hittades i LangChain i slutet av 2025. CVE är CVE-2025-68664. CVSS-poängen är 9,3 (Kritisk).
Den riktar in sig på LangChains serialiseringskod.
Vad CVE-2025-68664 gör
LangChain har två serialiseringsfunktioner: dumps() och dumpd(). De konverterar Python-objekt till text.
Sårbarheten finns i stängningshanteringen.
När LangChain serialiserar ett callable, fångar det stängningskontexten.
En angripare som kontrollerar LLM-svaret kan utlösa dumps(). Funktionen läser sedan miljövariabler från Python-processen.
Resultatet är dataexponering. API-nycklar, databasanslutningssträngar, JWT-hemligheter och AWS-autentiseringsuppgifter kan visas i modellutdata.
En angripare som injicerar text i ett RAG-källdokument kan läsa dina produktionshemligheter.
Berörda versioner: LangChain under 0.3.22 (Python). Version 0.3.22 innehåller åtgärden.
PyPI-data visar utbredd användning av äldre versioner till och med mars 2026.
Hur PII läcker i RAG-pipelines
CVE-2025-68664 är dramatisk. Men det är bara ett fall av ett bredare problem.
Data läcker rutinmässigt genom RAG-pipelines. Ingen angripare behövs.
Här är en standard RAG-konfiguration för företag.
Först, inmatning. Du indexerar företagsdokument i ett vektorlager. Tänk supportärenden, kundmejl, kontrakt och HR-poster.
Vanliga vektorlager är Pinecone, Weaviate och pgvector.
Sedan, hämtning. En användare ställer en fråga. Systemet hämtar de fem mest relevanta styckena från lagret.
Sedan, generering. De styckena skickas till en LLM — GPT-4o, Claude eller Gemini — som kontext.
Steg två är problemet. Hämtade stycken innehåller vad källdokumenten innehöll. Det inkluderar:
- Kundnamn, e-postadresser och telefonnummer
- Kontraktsvärden, kontonummer och skatteidentifierare
- Anställdas lönedata och prestationsrecensioner
- Patientnamn i kliniska anteckningar
- Nationella ID-nummer i immigrationsfiler
Den datan skickas till LLM:en som den är. Den kan visas i modellutdata.
Den loggas av LLM-leverantören. Den finns i din konversationshistorik. Den flödar in i din observerbarhetsstackt.
Ingen attack behövs. Så här fungerar RAG per design. Designen skapar verklig integritetsrisk.
68 hemlighetsmönster i företagsdokumentlager
Säkerhetsverktyg spårar 68 kända hemlighetsmönster. De förekommer oftare än team förväntar sig.
Här är de vanligaste.
- AWS Access Key ID:n (
AKIA...) - OpenAI API-nycklar (
sk-...) - Anthropic API-nycklar (
sk-ant-...) - Databas-URI:er (
postgresql://user:password@host/db) - JWT-tokens (base64-kodade headers)
- GitHub Personal Access Tokens
- Stripe hemliga nycklar (
sk_live_...) - SendGrid API-nycklar
- Twilio konto-SID och autentiseringstokens
- Privata nyckel-PEM-block
Ett supportärende kan innehålla en kunds API-nyckel från en felsökningssession.
Ett kontrakt kan inkludera databasautentiseringsuppgifter från en teknisk överlämning.
En konfigurationsfil indexerad av misstag kan exponera ett helt hemlighetsarkiv.
När dessa filer går in i ett vektorlager utan sanering kan varje fråga skicka hemligheterna till LLM:en.
De kan nå slutanvändaren också.
Åtgärda det: Anonymisera före inbäddning
Det rätta tillvägagångssättet anonymiserar dokument innan uppdelning och inbäddning.
Detta steg krävs för alla system som hanterar kunddata.
Här är ett Python-exempel med anonym.legal API:
import requests
import os
ANONYM_API_KEY = os.environ["ANONYM_API_KEY"]
ANONYM_BASE_URL = "https://anonym.legal/api"
def anonymize_before_embedding(text: str) -> tuple[str, dict]:
"""Anonymisera PII före inbäddning."""
response = requests.post(
f"{ANONYM_BASE_URL}/presidio/anonymize",
json={
"text": text,
"language": "en",
"anonymizers": {
"DEFAULT": {"type": "replace", "new_value": "[REDACTED]"},
"PERSON": {"type": "mask", "masking_char": "*", "chars_to_mask": 4, "from_end": False},
"EMAIL_ADDRESS": {"type": "replace", "new_value": "[EMAIL]"},
"PHONE_NUMBER": {"type": "replace", "new_value": "[PHONE]"},
"CRYPTO": {"type": "replace", "new_value": "[SECRET]"},
"URL": {"type": "keep"},
}
},
headers={"Authorization": f"Bearer {ANONYM_API_KEY}"}
)
result = response.json()
return result["text"], result.get("items", [])
def build_rag_index(documents: list[str], vectorstore):
"""Bygg ett RAG-index med enbart rena dokument."""
anonymized_docs = []
for doc in documents:
clean_text, entities = anonymize_before_embedding(doc)
anonymized_docs.append(clean_text)
print(f"Tog bort {len(entities)} PII-entiteter från dokument")
vectorstore.add_texts(anonymized_docs)
anonym.legal API täcker 285+ entitetstyper. Namn, e-postadresser, telefonnummer, nationella ID-nummer, API-nycklar och databas-URI:er detekteras alla.
Inget känsligt når vektorlagret. Så ingenting känsligt kan läcka till användarna.
Se utvecklarguiden för LangChain- och LlamaIndex-konfigurationsmönster.
Åtgärda CVE-2025-68664 omedelbart
Om du kör LangChain under 0.3.22, uppdatera nu:
pip install "langchain>=0.3.22" "langchain-core>=0.3.22"
Efter patchning, kontrollera dina kedjakonfigurationer för injektionsrisk. Här är tre steg att ta.
Först, validera hämtade stycken. Gör detta innan de når LLM:en.
Ta bort innehåll som matchar injektionsmönster som ignore previous instructions, system: eller <INST>.
För det andra, anonymisera före inbäddning. Detta minskar attackytan.
Om injektion inträffar finns inte den känsliga datan där för att extraheras.
För det tredje, begränsa kedjerättigheter. LangChain-kedjor bör inte läsa miljövariabler utöver vad de behöver.
Använd ett tjänstekonto med minimal behörighet.
Matematiken är enkel
CVSS-poängen är 9,3. Åtgärden är ett API-anrop per dokument.
Kombinationen av CVE-2025-68664 och allmän RAG-datarisk är ett verkligt ansvar.
Lösningen är tydlig: anonymisera vid inmatning, inte vid frågetillfället.
Kolla säkerhets- och efterlevnadsöversikten för RAG-krav i företagsmiljö.
Källor
- NVD CVE-2025-68664, CVSS 9,3, LangChain-serialiseringssårbarhet
- LangChain säkerhetsrådgivning, langchain-ai/langchain GitHub, 2025
- OWASP LLM Top 10: LLM01 Prompt Injection, LLM06 Känslig informationsavslöjning
- anonym.legal entitetstypdokumentation — 285+ entitetstyper som stöds