Krytyczne luki w LangChain i LangGraph narażają sekrety, pliki i historię konwersacji

securitybeztabu.pl 10 godzin temu

Wprowadzenie do problemu

W popularnych frameworkach AI LangChain i LangGraph ujawniono trzy poważne podatności, które mogą prowadzić do odczytu plików z systemu, wycieku sekretów środowiskowych oraz nieautoryzowanego dostępu do danych przechowywanych w bazach SQLite. Problem dotyczy warstwy orkiestracji aplikacji opartych na dużych modelach językowych, czyli komponentów odpowiedzialnych za obsługę promptów, zarządzanie stanem agentów, serializację danych i utrwalanie historii interakcji.

To istotne ostrzeżenie dla organizacji rozwijających agentów AI, systemy RAG i aplikacje korzystające z pamięci konwersacyjnej. Zagrożenie nie wynika z błędów samego modelu językowego, ale z klasycznych problemów bezpieczeństwa aplikacyjnego obecnych w otaczającej go infrastrukturze.

W skrócie

Ujawniono trzy luki obejmujące path traversal, niebezpieczną deserializację oraz SQL injection.
Podatności dotyczą pakietów langchain-core i langgraph-checkpoint-sqlite.
Możliwy jest odczyt wrażliwych plików, pozyskanie sekretów środowiskowych oraz manipulacja danymi checkpointów i historią konwersacji.
Dostępne są poprawki, dlatego aktualizacja powinna być traktowana jako działanie pilne.

Kontekst i historia

LangChain i LangGraph stały się jednymi z najczęściej wykorzystywanych frameworków do budowy aplikacji LLM, agentów AI oraz rozwiązań opartych na wyszukiwaniu i generowaniu odpowiedzi. Korzystają z nich zarówno zespoły tworzące własne produkty, jak i inne biblioteki, które włączają te komponenty jako zależności pośrednie.

To oznacza, iż skala ryzyka może być znacznie większa niż w przypadku pojedynczych wdrożeń. jeżeli podatny komponent znajduje się głęboko w łańcuchu zależności, organizacja może choćby nie być świadoma jego obecności w środowisku produkcyjnym lub deweloperskim.

Opisane błędy potwierdzają, iż ekosystem AI pozostaje podatny na dobrze znane klasy podatności. Z perspektywy atakującego łatwiejsze może być wykorzystanie słabo zabezpieczonej logiki frameworka niż bezpośredni atak na model językowy.

Analiza techniczna

Pierwsza podatność, oznaczona jako CVE-2026-34070, dotyczy langchain-core i mechanizmu ładowania promptów. Problem wynika z niewystarczającej walidacji ścieżek przekazywanych do funkcji odczytujących pliki konfiguracyjne oraz szablony. jeżeli aplikacja pozwala użytkownikowi wpływać na strukturę konfiguracji, możliwe staje się wykorzystanie sekwencji traversal do odczytu plików spełniających określone ograniczenia rozszerzeń, takich jak JSON, YAML czy TXT.

W praktyce może to oznaczać dostęp do lokalnych plików konfiguracyjnych, manifestów infrastruktury, definicji workflow albo ustawień aplikacji zapisanych na serwerze. Taki scenariusz może prowadzić do dalszej kompromitacji środowiska, jeżeli w odczytanych plikach znajdują się dane dostępowe lub informacje pomocne w eskalacji uprawnień.

Druga luka, CVE-2025-68664, również dotyczy langchain-core, ale tym razem obszaru serializacji i deserializacji. Istota problemu polega na tym, iż określona struktura danych wejściowych może zostać błędnie uznana za prawidłowo zserializowany obiekt frameworka. W efekcie dane kontrolowane przez użytkownika mogą zostać zinterpretowane nie jako zwykły słownik, ale jako obiekt wewnętrzny LangChain.

Taki mechanizm tworzy ryzyko ekstrakcji wrażliwych informacji, w tym kluczy API, sekretów zapisanych w zmiennych środowiskowych oraz innych danych dostępnych dla procesu aplikacji. Szczególnie niebezpieczne jest to tam, gdzie aplikacja zapisuje i ponownie odczytuje stan obiektów pochodzący z niezaufanego źródła.

Trzecia podatność, CVE-2025-67644, została zidentyfikowana w langgraph-checkpoint-sqlite i dotyczy implementacji checkpointów opartych na SQLite. Problem wynika z niewłaściwego budowania predykatów SQL na podstawie kluczy filtrów metadanych. o ile atakujący może kontrolować nie tylko wartości, ale również nazwy kluczy użytych w filtrach, może wpłynąć na finalną postać zapytania SQL.

To otwiera drogę do wykonywania nieautoryzowanych operacji na bazie checkpointów, a w konsekwencji do odczytu lub modyfikacji historii konwersacji, stanu workflow i innych artefaktów zapisywanych przez agentów AI.

Producent opublikował już poprawki dla podatnych komponentów. Dla CVE-2026-34070 zalecana jest aktualizacja do langchain-core w wersji co najmniej 1.2.22. Dla CVE-2025-68664 poprawione wydania to 0.3.81 oraz 1.2.5, zależnie od używanej gałęzi. W przypadku CVE-2025-67644 należy przejść na langgraph-checkpoint-sqlite 3.0.1 lub nowszy.

Konsekwencje i ryzyko

Wpływ opisanych luk może być bardzo poważny zarówno z perspektywy technicznej, jak i biznesowej. Odczyt plików lokalnych może doprowadzić do przejęcia tokenów, konfiguracji chmurowych, poświadczeń CI/CD oraz danych integracyjnych. Wyciek sekretów środowiskowych zwiększa ryzyko ruchu bocznego, przejęcia kont usługowych i eskalacji ataku na inne elementy infrastruktury.

Z kolei SQL injection w warstwie checkpointów może naruszyć poufność historii konwersacji, danych użytkowników i pamięci agentów. W środowiskach enterprise może to oznaczać ekspozycję danych klientów, promptów systemowych oraz logiki działania automatyzacji AI.

Ryzyko jest szczególnie wysokie w organizacjach, które:

budują własnych agentów AI z pamięcią konwersacyjną,
korzystają z LangChain jako zależności pośredniej,
przechowują sekrety w zmiennych środowiskowych procesu,
używają SQLite do trwałego przechowywania checkpointów,
dopuszczają wpływ danych użytkownika na konfigurację promptów, serializację lub filtry metadanych.

W praktyce atak może przebiegać cicho i bez konieczności naruszania samego modelu AI. To ważna lekcja dla zespołów bezpieczeństwa: ochrona aplikacji LLM musi obejmować nie tylko warstwę modeli, ale także frameworki, integracje i mechanizmy utrwalania danych.

Rekomendacje

Najważniejszym krokiem powinno być szybkie ustalenie, czy LangChain i LangGraph występują w środowiskach produkcyjnych, testowych lub deweloperskich, również jako zależności transytywne. Następnie należy przeprowadzić aktualizację do wersji zawierających poprawki.

Zaktualizować langchain-core i langgraph-checkpoint-sqlite do wersji naprawionych.
Przeprowadzić pełny audyt zależności bezpośrednich i pośrednich w projektach AI.
Zablokować wpływ użytkownika na ścieżki plików, konfiguracje promptów i dane podlegające serializacji.
Traktować wszystkie dane wejściowe przekazywane do mechanizmów load, loads, dumps i dumpd jako niezaufane.
Ograniczyć przechowywanie sekretów w zmiennych środowiskowych i przenieść je do dedykowanych menedżerów tajemnic.
Odseparować środowiska uruchomieniowe agentów AI od wrażliwych plików lokalnych.
Monitorować dostęp do baz checkpointów oraz wykrywać anomalie w zapytaniach SQL.
Wdrożyć zasadę najmniejszych uprawnień dla procesów obsługujących aplikacje LLM.
Przeanalizować logi pod kątem nietypowych odczytów plików, błędów serializacji i podejrzanych operacji na SQLite.

W środowiskach o podwyższonym ryzyku warto dodatkowo wdrożyć sandboxing agentów, kontrolę egressu sieciowego oraz ograniczenia systemowe na poziomie kontenerów. Takie środki mogą utrudnić eksfiltrację danych choćby wtedy, gdy podatność zostanie wykorzystana.

Podsumowanie

Luki w LangChain i LangGraph pokazują, iż nowoczesne aplikacje AI pozostają narażone na tradycyjne klasy błędów bezpieczeństwa. Path traversal, niebezpieczna deserializacja i SQL injection w warstwie orkiestracji mogą umożliwić przejęcie plików, sekretów oraz historii konwersacji bez potrzeby bezpośredniego ataku na model językowy.

Dla organizacji korzystających z tych frameworków oznacza to konieczność pilnej inwentaryzacji komponentów, wdrożenia poprawek oraz objęcia ekosystemu AI takim samym reżimem bezpieczeństwa jak baz danych, middleware i systemów integracyjnych krytycznych dla biznesu.

Źródła

Idź do oryginalnego materiału