AIエージェント基盤LangGraphに脆弱性チェーン発見、自己ホスト型でリモートコード実行の恐れ

「自社で動かしているAIエージェントが、乗っ取られることなんてあるんでしゅか？」
「脆弱性って言われても、どこをどう直せばいいのか分からないんでしゅ……」

チップス

AIに任せていた処理から、サーバごと乗っ取られるなんて想像もしてなかったでしゅ……。

ボス

AIエージェントも結局はソフトウェアだ。古くからある弱点が、新しい姿で牙をむく。仕組みを押さえれば守れるぞ。

本記事では、AIエージェント基盤LangGraphで見つかった脆弱性チェーンについて、何が危険でどう守るかを整理します。

読み終える頃には、自社運用のAIエージェントで真っ先に確認すべき点が分かります。

LangGraph脆弱性チェーンの概要

まず何が見つかったのかを整理します。

3件の脆弱性とリモートコード実行

Check Point Researchの研究者は、LangChainが開発するAIエージェント基盤LangGraphに3件の脆弱性を報告しました。
中心となるのは、データの保存部分でのSQLインジェクションと、データを復元するときの安全でない処理です。
このふたつを組み合わせると、攻撃者はサーバ上で任意のコードを実行できてしまいます。
影響を受けるのは自分たちでLangGraphを構築する自己ホスト型の環境で、マネージドのLangSmithは対象外とされています。

報告された脆弱性は以下のとおりです。

チップス

別々の弱点をつなげて悪用するって、どういうことなんでしゅか？

ボス

単独では小さな穴でも、つなげば一本道の侵入路になる。次でその流れを見てみよう。

攻撃の仕組みとリスク

なぜAIエージェントが狙われ、何を失うのかを掘り下げます。

エージェントの「記憶」が攻撃の入り口になる

LangGraphには、AIエージェントが対話の途中経過を覚えておくための保存機能があります。
この機能はデータベースに状態を書き込み、後で読み戻す仕組みです。
攻撃者は、外部から渡せる検索条件にSQLインジェクションを仕込み、偽の保存データを紛れ込ませます。
そのデータを読み戻す瞬間に不正なコードが実行され、サーバが乗っ取られます。

乗っ取られた場合に失われる恐れがあるものは次のとおりです。

チップス

便利だからって何でもAIに任せると、被害も大きくなるんでしゅね。

ボス

そのとおりだ。だからエージェントに渡す権限は必要最小限にとどめる。これが被害を抑える基本になる。

まとめ：まず最新版へ更新し権限を絞る

LangGraphの事案は、AIエージェント基盤にも従来のWebアプリと同じ弱点が潜むことを示しました。
開発元は修正版を公開しており、langgraph本体は1.0.10以降、SQLite向けは3.0.1以降、Redis向けは1.0.2以降への更新が推奨されています。
入力のチェックだけでは防ぎきれないため、まずはパッケージを最新版へ上げることが先決です。
自社でAIエージェントを運用するなら、依存パッケージの更新と権限の最小化を日々の運用に組み込んでください。
こうしたAI時代の新しい脅威に立ち向かいたい方は、ぜひセキュリティフリーランス案件に目を向けてみてください。

参考: Check Point Research「From SQLi to RCE – Exploiting LangGraph’s Checkpointer」
参考: Cybersecurity News「Critical Vulnerability Chain in LangGraph Allows Attackers to Gain Full Server Control」