Уязвимость LangGraph позволяла пересекать границы арендаторов в хранилищах агентов
В экосистеме LangGraph исправили уязвимость CVE-2026-115883, которая могла нарушить изоляцию данных между арендаторами в приложениях на базе ИИ-агентов. Проблема затрагивала хранилища контрольных точек для PostgreSQL и SQLite и получила оценку 6,0 по CVSS 4.0.
Что произошло
Хранилища преобразовывали составное пространство имён в строку, соединяя его части точкой. Поэтому пространства ("tenant", "bob") и ("tenant.bob",) превращались в одинаковое значение. Проверка точки выполнялась в операции записи put, но отсутствовала в чтении, поиске, удалении, перечислении пространств имён и в некоторых пакетных операциях.
Если приложение позволяло недоверенному вводу задавать метку пространства имён, такой вызов мог вернуть данные другого арендатора, перезаписать их или удалить. В advisory отдельно отмечено, что InMemoryStore с сопоставлением кортежей не затронут.
Кого касается и что делать
Уязвимы версии langgraph-checkpoint-postgres до 3.1.3 и langgraph-checkpoint-sqlite до 3.1.2. Для обновления также требуется langgraph-checkpoint 4.3.0: в нём проверка меток применяется ко всем перечисленным операциям и пакетным запросам. Для LangSmith Deployment исправления также выпускались в Agent Server; самохостинговым установкам нужно обновиться самостоятельно.
Инцидент важен для ИИ-систем, потому что графы агентов нередко обращаются к памяти и состоянию от имени разных пользователей. Ошибка не означала автоматический доступ к любой установке: требовались подходящее хранилище и путь, по которому атакующий мог передать управляемую метку. Но при наличии этих условий нарушение границ арендаторов затрагивало конфиденциальность и целостность данных.