Pydantic AI opravuje vyčerpanie zdrojov pri spracovaní škodlivého HTML

Pydantic AI opravil zraniteľnosť lokálneho nástroja web_fetch, cez ktorú mohla útočníkom ovládaná webová stránka vyvolať nadmernú spotrebu procesora a pamäte. Chyba dostala identifikátor GHSA-v36g-jcw9-x7cw a správca projektu ju hodnotí ako stredne závažnú. Oprava je dostupná vo vetve 2 vo verzii 2.52.0 a pre používateľov staršej vetvy 1 vo verzii 1.107.7. Problém sa netýka samotného jazykového modelu ani vzdialeného získavania stránok poskytovaného modelovou platformou. Vzniká v lokálnom spracovaní HTML, ktoré si agent stiahne a následne konvertuje na textový formát vhodný pre model.

Slabým miestom nebolo sťahovanie, ale prevod obsahu

Podľa bezpečnostného oznámenia dokážu hlboko vnorené blokové prvky HTML prinútiť konvertor, aby na každej úrovni opakovane spracúval už nahromadený text. Medzivýsledok preto môže narastať oveľa rýchlejšie než pôvodná odpoveď servera. Bežný limit veľkosti stiahnutého tela požiadavky v tomto prípade neposkytuje úplnú ochranu: obmedzuje počet bajtov prijatých zo siete, nie objem práce a dočasných dát vytvorených počas konverzie. Limit vráteného obsahu sa navyše uplatňuje až po tomto kroku. Aj relatívne malá stránka tak môže spustiť neúmerne nákladné lokálne spracovanie.

Na aktuálnych dotknutých vydaniach prebiehala konverzia v pracovnom vlákne. To znižovalo riziko priameho zablokovania hlavnej asynchrónnej slučky, no nebránilo vysokej spotrebe CPU a pamäte ani spomaleniu ďalších úloh v rovnakom procese. Staršie vydania vykonávali konverziu priamo v event loope, takže následky mohli byť viditeľnejšie aj ako zastavenie ostatných asynchrónnych operácií. Podmienkou útoku je, aby agent skutočne načítal pripravenú stránku cez lokálny nástroj. Samotná existencia odkazu v texte alebo používanie providerom spravovaného webového vyhľadávania podľa Pydanticu nestačí.

Oficiálne hodnotenie uvádza sieťovo dostupný vektor, nízku zložitosť útoku, žiadne potrebné oprávnenia a potrebu interakcie používateľa alebo agenta. Dosah smeruje na dostupnosť služby, nie na dôvernosť či integritu dát. Oznámenie preto zaraďuje problém pod CWE-400, teda nekontrolovanú spotrebu zdrojov, a CWE-407, neefektívnu algoritmickú zložitosť. K chybe zatiaľ nie je priradené CVE; jednoznačným identifikátorom na sledovanie zostáva GitHub Security Advisory GHSA-v36g-jcw9-x7cw.

Ktoré inštalácie treba aktualizovať

Zraniteľné sú balíky pydantic-ai aj pydantic-ai-slim. Vo vetve 1 ide o verzie od 1.77.0 vrátane až po vydania staršie než 1.107.7. Vo vetve 2 sú dotknuté verzie od 2.0.0b1 po vydania pred 2.52.0. Opravené hranice sú teda presne 1.107.7 a 2.52.0. Obe verzie sú už zverejnené aj v registri PyPI, čo umožňuje aktualizáciu štandardným mechanizmom závislostí bez čakania na samostatný distribučný kanál.

Pre prevádzkovateľov agentov je podstatné overiť skutočne nasadenú verziu, nie iba požiadavku zapísanú v projektovom manifeste. Lock súbor, kontajnerový obraz alebo dlhšie bežiace prostredie môžu stále obsahovať starší balík. Osobitnú pozornosť si zaslúžia služby, ktoré automaticky otvárajú odkazy z e-mailov, tiketov, dokumentov, výsledkov vyhľadávania či používateľských promptov. Práve tam môže nedôveryhodný webový obsah vstúpiť do nástroja bez toho, aby operátor vopred poznal štruktúru stránky. Po aktualizácii má zmysel znovu zostaviť obrazy a reštartovať pracovné procesy, aby opravený balík neostal iba v registri závislostí.

Ak okamžitá aktualizácia nie je možná, bezpečnejším dočasným režimom je obmedziť alebo vypnúť lokálne načítavanie nedôveryhodných stránok. Pomôcť môže aj izolovanie nástroja do procesu alebo kontajnera s pevnými limitmi pamäte, procesorového času a trvania požiadavky. Takéto opatrenia však neriešia chybnú zložitosť konverzie a nemožno ich považovať za náhradu opravy. Obyčajné zmenšenie maximálnej veľkosti sťahovanej odpovede nemusí stačiť, pretože jadro problému sa prejavuje až pri transformácii už prijatého HTML.

Prečo je chyba dôležitá pre agentické systémy

Zraniteľnosť ukazuje rozdiel medzi bezpečnosťou sieťovej vrstvy a bezpečnosťou obsahovej pipeline. Agent môže dodržať limit veľkosti odpovede, blokovať súkromné adresy a používať časový limit HTTP požiadavky, no stále sa dostať do problémov pri parsovaní, čistení alebo prevode dokumentu. V agentickej aplikácii navyše o navštívení URL často nerozhoduje priamo človek. Odkaz môže vybrať model na základe výsledku vyhľadávania alebo obsahu predchádzajúceho dokumentu. Každý parser pracujúci s externými dátami sa preto stáva súčasťou bezpečnostnej hranice, aj keď nevykonáva skripty zo stránky.

Praktickým dôsledkom nie je len možný pád jedného agenta. Ak viac úloh zdieľa proces, pracovný uzol alebo front, nadmerná konverzia môže zvýšiť latenciu ostatných požiadaviek, spustiť zásah správcu pamäte alebo viesť k opakovaným reštartom. V cloudovom prostredí sa problém môže prejaviť aj rastom nákladov, ak orchestrátor nahrádza preťažené inštancie alebo automaticky pridáva ďalšie. Riziko závisí od architektúry: jednorazový lokálny experiment má iný profil než verejná služba, ktorá prijíma ľubovoľné URL a súbežne obsluhuje viac zákazníkov.

Incident zároveň podporuje zásadu, že nedôveryhodný obsah treba limitovať v každej fáze spracovania. Samostatné rozpočty by mali pokrývať počet stiahnutých bajtov, čas parsovania, veľkosť medzireprezentácie, výsledný počet znakov aj celkový čas nástroja. Užitočné je sledovať pomer medzi veľkosťou vstupného HTML a skonvertovaného textu, pretože prudký nárast môže odhaliť patologický dokument skôr, než vyčerpá celý rozpočet. V produkcii je vhodné oddeliť webové nástroje od hlavného procesu agenta a nastaviť zlyhanie jednej konverzie tak, aby nezhodilo celú konverzáciu alebo front úloh.

Čo oprava nepotvrdzuje

Oznámenie neznamená, že každé použitie web_fetch umožňovalo vzdialené spustenie kódu alebo únik dát. Zverejnený dosah sa týka dostupnosti a nadmernej spotreby zdrojov. Rovnako sa výslovne nevzťahuje na webové načítavanie realizované priamo poskytovateľom modelu. Tímy by preto mali najprv určiť, ktorú implementáciu ich agent používa, a až potom hodnotiť expozíciu. Názov nástroja môže byť v rôznych zásobníkoch podobný, no bezpečnostné vlastnosti lokálneho konvertora a vzdialenej služby nie sú totožné.

Pydantic nezverejnil v stručnom oznámení údaje o reálnom zneužívaní ani merania, aké vnorenie vedie ku konkrétnej spotrebe pamäte na rôznych strojoch. Bez takýchto dát nemožno presne vyčísliť prevádzkový dopad pre každé nasadenie. Overené však je, ktoré rozsahy verzií sú dotknuté, aký mechanizmus chybu spôsobuje a ktoré vydania ju opravujú. Pre používateľov Pydantic AI je preto najpresnejším postupom aktualizovať na 2.52.0 alebo 1.107.7, skontrolovať reálne nasadené artefakty a ponechať spracovanie cudzieho webového obsahu pod samostatnými zdrojovými limitmi.