何が起きたか
NVD は 2026-07-29 に 3 つの関連 Pydantic AI CVE を公開しました。SSRF クラウドメタデータ ブロックリストバイパス AG-UI/Vercel AI 統合の 2 つの UI アダプタ任意ファイル参照脆弱性を対象にしています。
なぜ重要か
Pydantic AI は広く採用されている Python エージェント フレームワークです。エージェント プロセス内からクラウドメタデータ エンドポイントへの SSRF はクラウド認証情報 (IAM ロール トークン) 盗難につながる可能性があります。UI アダプタ ファイル開示バグでは、リモート クライアントが細工されたチャット履歴だけでエージェントをホストするサーバーから任意のファイルをプルできます — 展開された Pydantic AI チャット UI の深刻なデータ露出パスです。
攻撃経路
アプリケーションが URL を force_download='allow-local' (デフォルトプライベート/内部 IP ブロック無効化) にオプトイン場合、クラウドメタデータ ブロックリストはメタデータ IP を別形式でエンコードしてバイパスされ、クラウドメタデータ サービスへの SSRF を可能にします (CVE-2026-46678)。別途、クライアントが Pydantic AI UI アダプタ (Vercel AI/AG-UI) にメッセージ履歴を送信するとき、細工された履歴エントリを経由してモデルのファイルシステムの任意ファイルを参照できます (CVE-2026-54249, CVE-2026-65975)。sanitize_message_history がファイル参照インジェクションを完全にブロックしませんでした。
影響を受けるシステム
pydantic-ai バージョン 1.56.0–1.98.0 (CVE-2026-46678); 1.65.0–1.105.0 および 2.0.0b1–2.0.0b5 (CVE-2026-54249); 1.88.0–1.107.0 および 2.0.0b1–2.4.x (CVE-2026-65975)
緩和策
pydantic-ai 1.99.0+ (CVE-2026-46678 修正) および GHSA-h7p7-w5gc-xj3w / GHSA-jpr8-2v3g-wgf9 で参照されるバージョンに UI アダプタ ファイル開示問題のためにアップグレードしてください。