LangGraphの保存領域に分離の不備―Postgres・SQLite用パッケージを更新
利用者別の名前空間にドットを含む入力を渡すと、別領域へ到達する問題です。AIエージェントの保存データを分けている実装を確認します。
脆弱性の公表日：2026-10-21 / 公開： / 更新： / 最終確認：
Codingholic 編集部 · 約3分
AIエージェントの処理を組み立てるLangGraphは2026年10月21日、Postgres・SQLiteのデータ保存機能で、別の名前空間のデータを読み書き・削除できる不備を公表しました。名前空間で利用者や組織のデータを分けているアプリが確認対象です。
名前空間を外部入力で選べる実装が対象
影響するのはlanggraph-checkpoint-postgresの3.1.3未満と、langgraph-checkpoint-sqliteの3.1.2未満です。該当ストアで名前空間を分離境界に使い、信頼できない入力がそのラベルに到達する場合に問題になります。InMemoryStoreは対象外です。
たとえば画面の利用者名やAPIの引数から保存先を作る実装では、その値が読み出し・削除・一括操作まで渡るか調べます。認証済みであっても、他の利用者の領域を指定できないことの確認が必要です。
ドット区切りへの変換で別の領域と重なる
保存時に名前空間の要素をドットで結合するため、複数の要素と、ドットを含む一つの要素が同じ値になります。通常の書き込みでは検査していた一方、読み出しや削除、一括処理などの検査が不足していました。
修正版は各操作でラベルを検証します。Postgres用は3.1.3、SQLite用は3.1.2へ更新し、双方が要求するlanggraph-checkpoint 4.3.0も含めて依存関係を解決します。
更新後に利用者をまたぐ操作が拒否されるか確認
当社では、検証環境に二つの利用者のテストデータを用意し、通常の保存・取得と、他方を指定した読み出し・削除・一括操作の拒否を確認することを提案します。アプリ側でも保存先を認証済み利用者から決め、任意入力に委ねない設計にします。
LangSmith Cloudでは新しいデプロイとリビジョンに修正が含まれ、既存デプロイは次のリビジョンで適用されると案内されています。セルフホストも更新が必要です。ライブラリの更新記録に加え、実際に動くリビジョンまで確認してください。
出典と編集について
LangGraph：LangGraphの保存領域に分離の不備：公式アドバイザリ ↗出典の報告と、編集部が提案する点検・対策を分けて記載しています。本記事の点検項目は個別環境の診断結果ではありません。