LangGraph タスク結果キャッシュ — キャッシュキー生成での弱いハッシュ

LangGraph のタスク結果キャッシング メカニズムは弱いハッシュ関数を使用してキャッシュキーを生成するため、crafted 入力がキャッシュされた結果と衝突し、潜在的に古いまたは不正なキャッシュタスク出力が提供される可能性があります。

LangGraph はステートフル LLM エージェントの構築に広くデプロイされていますが、この特定の欠陥は重度が低く (CVSS 3.1) ローカルアクセスが必要です — フレームワークの人気度を考慮して追跡する価値があります。その自身は差し迫ったリスクではありませんが。

libs/langgraph/langgraph/_internal/_cache.py の _freeze 関数は、Task Result Cache の default_cache_key 引数に対して弱い/非暗号化ハッシュを使用し、ローカル攻撃者がキャッシュキーの衝突を引き起こす可能性があります。

langchain-ai langgraph、バージョン 1.2.4 まで

キャッシュキーに対してより強いハッシュ関数を使用するパッチされた LangGraph リリースにアップグレードするか、カスタム強ハッシュキャッシュキー関数を提供してください。