João Miguel Mesquita
O alerta parte de um novo relatório publicado pela Cyata Security, que detalha uma vulnerabilidade crítica recentemente descoberta no langchain-core, a biblioteca central que sustenta agentes baseados em LangChain, amplamente utilizados em sistemas de inteligência artificial em produção.
A falha foi registada como CVE-2025-68664, recebeu o nome de “LangGrinch” e obteve uma pontuação de 9,3 no sistema CVSS, o que a coloca no patamar mais elevado de gravidade. Segundo os investigadores, a exploração bem-sucedida pode levar à extração de segredos sensíveis e, em determinadas condições, à execução remota de código.
O impacto potencial da vulnerabilidade é amplificado pela posição que o langchain-core ocupa no ecossistema de agentes de IA. Trata-se de uma dependência estrutural para inúmeras frameworks e aplicações, o que significa que um problema neste componente propaga-se facilmente a múltiplos sistemas. Dados citados pela Cyata indicam que o langchain-core soma cerca de 847 milhões de downloads acumulados, com dezenas de milhões apenas nos últimos 30 dias. O pacote LangChain, no seu conjunto, regista cerca de 98 milhões de downloads mensais, um indicador da sua adoção transversal.
A origem do problema está numa vulnerabilidade de injeção nos processos de serialização e desserialização das funções auxiliares integradas do langchain-core. Um atacante pode manipular um agente de IA através de injeção de prompt, levando-o a gerar saídas estruturadas adulteradas que incluem a chave marcadora interna do LangChain. Como essa chave não é corretamente tratada durante a serialização, os dados acabam por ser desserializados mais tarde como se fossem objetos fiáveis do próprio sistema, em vez de entradas externas não confiáveis.
Este detalhe técnico é relevante porque, como explicam os investigadores, o ponto fraco não está quando os dados são reconstruídos, mas sim quando são preparados para persistência ou transmissão. Em ambientes com agentes de IA, é comum que os resultados de um prompt sejam guardados, enviados para outros serviços ou reutilizados mais tarde, o que cria uma superfície de ataque extensa a partir de uma única interação.
Uma vez explorada, a falha pode resultar na exfiltração completa de variáveis de ambiente através de pedidos HTTP de saída. Entre os dados potencialmente expostos estão credenciais de cloud, ligações a bases de dados, informação associada a sistemas RAG, segredos de bases de dados vetoriais e chaves de API de modelos de linguagem de grande escala. A equipa da Cyata identificou 12 fluxos de exploração distintos, todos acessíveis através de operações consideradas normais no ciclo de vida de um agente.
Um aspeto particularmente sensível é o facto de a vulnerabilidade existir no próprio langchain-core, sem depender de ferramentas, conectores ou integrações de terceiros. Isto coloca a falha ao nível daquilo que a Cyata descreve como a camada de infraestrutura do ecossistema, utilizada de forma contínua por muitos sistemas em produção, aumentando o risco sistémico.
As correções já se encontram disponíveis nas versões 1.2.5 e 0.3.81 do langchain-core. As organizações devem atualizar imediatamente os seus ambientes. Antes da divulgação pública, a Cyata notificou os responsáveis pela manutenção do LangChain, que procederam à correção e a medidas adicionais de reforço de segurança.
O caso surge num momento em que os agentes de IA estão a transitar rapidamente de protótipos para sistemas de produção. A discussão sobre segurança deixa de se centrar apenas no código executado e passa a focar-se nas permissões efetivas que estes sistemas acabam por exercer, sobretudo quando operam com acesso a credenciais e serviços críticos. Para os decisores de TI e responsáveis pela aquisição de tecnologia, a mensagem é inequívoca: a maturidade funcional dos agentes de IA tem de ser acompanhada por um rigor equivalente ao nível da segurança.
