KI-Sicherheitslücke in LangChain gefährdet Millionen von Apps
Millionen von KI-Apps vertrauen LangChain den Umgang mit sensiblen Daten an. Dieses Vertrauen hat gerade einen schweren Schlag erlitten.
Eine kritische Sicherheitslücke betrifft LangChain, eines der weltweit am häufigsten eingesetzten KI-Frameworks, und setzt Millionen von Anwendungen potenziellem Diebstahl von Geheimnissen und der Einschleusung von Schadcode aus.
Sicherheitsforscher sagen, dass die Schwachstelle es Angreifern ermöglicht, LangChains zentrale Serialisierungslogik auszunutzen, um Umgebungsvariablen auszulesen und nicht autorisierte Aktionen auszuführen. Dadurch sind API-Schlüssel, Zugangsdaten und sensible Daten im gesamten KI-Ökosystem.
So nutzen Angreifer diese „Weihnachtsgeschenk“-Schwachstelle aus
Der Angriffsvektor konzentriert sich auf LangChains Serialisierungsfunktionen, die benutzergesteuerte Daten nicht ordnungsgemäß verarbeiteten. Eine heute veröffentlichte Branchenanalyse zeigt, dass die Funktionen dumps() und dumpd() Wörterbücher mit „lc“-Schlüsseln nicht maskieren – internen Markierungen, mit denen LangChain seine eigenen serialisierten Objekte identifiziert.
Wenn Angreifer Daten mit diesen speziellen Schlüsseln einschleusen, behandelt das System sie bei der Deserialisierung als legitimen LangChain-Inhalt und nicht als nicht vertrauenswürdige Benutzereingabe.
Ein Sicherheitsexperte von Cyata entdeckte die Schwachstelle bei Audits der KI-Vertrauensgrenzen und stieß dabei auf den fehlenden Maskierungsmechanismus im Serialisierungscode. Die Schwachstelle ermöglicht mehrere verheerende Angriffspfade:
- Auslesen von Geheimnissen aus Umgebungsvariablen, wenn die Deserialisierung mit „secrets_from_env=True“ ausgeführt wird
- Instanziierung von Klassen innerhalb vertrauenswürdiger Namensräume wie langchain_core und langchain_community
- potenzielle Ausführung beliebigen Codes über Jinja2-Templates
Denken Sie an API-Schlüssel, Datenbankpasswörter und Authentifizierungstoken – alles, was Angreifer benötigen, um in Unternehmenssysteme einzudringen. Angreifer können Prompts erstellen, um freigegebene Klassen zu instanziieren, und dadurch SSRF-Angriffe auslösen, bei denen Umgebungsvariablen in Header eingebettet werden, um Daten auszuleiten.
Da dies gängige Abläufe wie Event-Streaming, Protokollierung und Caching betrifft, könnte praktisch jede LangChain-Anwendung, die nicht vertrauenswürdige Daten verarbeitet, kompromittiert werden.
Wettlauf gegen die Zeit: Patches und Schutzmaßnahmen
LangChain reagierte schnell auf die Meldung und veröffentlichte Patches, die grundlegend ändern, wie das Framework die Sicherheit der Serialisierung handhabt.
Die heute veröffentlichten Fehlerbehebungen umfassen neue Allowlist-Parameter in den Funktionen load() und loads(), mit denen festgelegt wird, welche Klassen serialisiert und deserialisiert werden dürfen. Jinja2-Templates sind nun standardmäßig blockiert, und die gefährliche Option „secrets_from_env“ wurde auf „False“ gesetzt, um das automatische Laden von Geheimnissen aus Umgebungsvariablen zu verhindern.
Zu den anfälligen Versionen gehören langchain-core >= 1.0.0, < 1.2.5 und < 0.3.81. Fehlerbehebungen sind in den Versionen 1.2.5 beziehungsweise 0.3.81 verfügbar. Die Schwachstelle wurde ursprünglich am 4. Dez. über Huntr gemeldet. LangChain bestätigte sie am folgenden Tag und veröffentlichte die Sicherheitswarnung am 24. Dezember.
Zusätzlich zur allgemeinen Unruhe traf eine parallele Schwachstelle auch LangChainJS. Sie wird als CVE-2025-68665 geführt und zeigt, dass dieses Problem mit der Serialisierungs-Injection das gesamte LangChain-Ökosystem betrifft.
Was das jetzt für Ihre KI-Anwendungen bedeutet
Cybersicherheitsexperten sprechen heute dringende Warnungen aus: Aktualisieren Sie langchain-core umgehend und prüfen Sie, ob auch Abhängigkeiten wie langchain-community auf dem neuesten Stand sind.
Organisationen müssen LLM-Ausgaben als nicht vertrauenswürdige Daten behandeln, Deserialisierungsprozesse in Streaming- und Protokollierungssystemen prüfen und die Auflösung von Geheimnissen deaktivieren, sofern die Eingaben nicht gründlich verifiziert wurden.
Der Zeitpunkt verschärft die Dringlichkeit, da Organisationen ihre Agenten-Deployments für eine schnelle Triage erfassen müssen, während die Nutzung von LLM-Anwendungen rasant zunimmt. Diese Schwachstelle unterstreicht, wie wichtig es ist, Ausgaben von KI-Modellen mit derselben sicherheitstechnischen Sorgfalt zu behandeln wie jede externe Datenquelle. Dadurch ändert sich grundlegend, wie Entwickler an die Sicherheit von KI-Anwendungen.
Angesichts der enormen Verbreitung von LangChain im gesamten KI-Ökosystem bezeichnen Branchenkenner dies als mehr als nur einen weiteren Sicherheitspatch – es ist ein Weckruf an die gesamte Branche, die Vertrauensgrenzen in KI-Anwendungen zu überdenken, bevor Angreifer die Feiertage in ein Festmahl des Datendiebstahls verwandeln.
Lesen Sie auch: OpenAI verstärkt ebenfalls seine Abwehrmaßnahmen. Hier erfahren Sie, wie das Unternehmen sein neues Atlas-System einsetzt , um den Missbrauch von ChatGPT im großen Maßstab zu erkennen und zu unterbinden.