事件经过
在 Black Hat USA 2026 大会上，Check Point 研究员 Shahar Tal 和 Yarden Porat 展示了"No Tools Required: Post-Injection Exploitation Across AI Agent Frameworks"，披露了 21 个发现，其中包括 LangChain、CrewAI、Microsoft Agent Framework 和 Google ADK 中的 12 个 CVE。漏洞包括不安全的反序列化（"LangGrinch"漏洞、CVE-2025-68664、CVSS 9.3）、SSRF 和沙箱逃逸。在许多情况下，攻击者不直接调用危险函数——一份被污染的文档进入代理的内存/RAG 管道，框架自身的保存/重新加载（序列化）行为会自动触发有效负载，暴露存储的 API 密钥、云凭证，并可能实现 RCE。
影响分析
这些是大量生产 LLM 代理部署底层的核心编排运行时。攻击者只需将恶意文档或输入注入代理的上下文（例如，通过 RAG 摄取）——无需直接工具访问权限——就能到达凭证存储，并可能在基于易受攻击的框架版本构建的每个下游应用程序上实现远程代码执行。
攻击途径
被污染的文档/输入被传送到代理的内存或 RAG 管道时，当框架保存/重新加载状态时会触发不安全的反序列化，攻击者无需直接调用工具；还包括 SSRF 和沙箱逃逸路径。
受影响系统
LangChain、CrewAI、Microsoft Agent Framework、Google ADK（Agent Development Kit）
缓解措施
更新到修补的 LangChain 版本以解决 CVE-2025-68664（LangGrinch）；Microsoft 支付了漏洞赏金并修复了其问题（无 CVE，框架处于前 GA 阶段）；Google 未完全修复或向其 ADK 发现颁发 CVE——限制 ADK 内置开发者助手 HTTP API 的暴露。沙箱化文档解析器并限制授予代理服务账户的 IAM 权限。