LangGrinch漏洞分析：CVE-2025-68664
概述
本仓库包含一份关于CVE-2025-68664（又名LangGrinch）的技术报告，该漏洞是影响LangChain Core的反序列化注入漏洞。
报告阐述了漏洞背景、根本原因、利用流程、威胁模型、缓解策略以及对基于LLM的应用的实际安全影响。
涵盖主题
- LangChain序列化与反序列化
- 不安全的反序列化 / CWE-502
- LLM应用安全
- 作为传递路径的提示注入
- 秘密暴露风险
- STRIDE威胁建模
- 缓解措施与安全编码实践
报告
完整报告请见：
关键要点
- 不应将不可信的用户输入、LLM输出、工具响应和元数据视为可信的序列化对象。
- 应用程序应升级存在漏洞的LangChain Core版本。
- 应限制基于环境的秘密解析等敏感功能。
- 开发者应在反序列化前验证并清理结构化数据。
- 运行时监控和秘密轮换是可能暴露后的重要防御措施。
免责声明
本项目仅供教育性和防御性安全研究使用。不提供任何关于未授权访问或实际利用的说明。
