PydanticAI opravuje chybu, pri ktorej načítanie HTML môže spomaliť aj iné úlohy

PydanticAI zverejnilo bezpečnostné upozornenie na chybu pri spracovaní webových stránok nástrojom web_fetch_tool. Ak aplikácia načíta HTML, ktorého obsah môže ovplyvniť útočník, jeho konverzia môže na dlhší čas obsadiť výpočtového pracovníka. Viac súbežných načítaní potom môže zamestnať zdieľanú skupinu pracovníkov a zdržať aj operácie, ktoré s problematickou stránkou vôbec nesúvisia. Opravy sú dostupné vo verziách 2.59.0 a 1.107.9.

Upozornenie GHSA-4whf-38hw-pxxh bolo zverejnené 21. októbra a správca mu priradil vysokú závažnosť so skóre CVSS 7,5. Podstatné je rozlíšiť povahu problému: oznámenie opisuje ohrozenie dostupnosti služby, nie preukázaný únik dát alebo prevzatie kontroly nad serverom. Pre prevádzkovateľov agentov však môže byť aj samotné spomaľovanie závažné, najmä keď jeden proces obsluhuje viac používateľov alebo zabezpečuje niekoľko rôznych pracovných postupov.

Problém vzniká pri konverzii stránky, nie pri odpovedi modelu

Podľa bezpečnostného oznámenia sa chyba prejavuje pri konverzii stránky obsahujúcej veľký počet HTML prvkov. Takéto spracovanie môže pracovníka zamestnať na neprimerane dlhý čas. Pri súbežných požiadavkách sa problém prenáša na spoločné kapacity aplikácie. Zdroj zároveň uvádza, že staršie dotknuté verzie vykonávali konverziu priamo v slučke udalostí, teda v časti programu, ktorá koordinuje asynchrónnu prácu. Konkrétna podoba dopadu preto závisí aj od používanej verzie a architektúry nasadenia.

To vysvetľuje, prečo môže zdanlivo obyčajné čítanie internetu zasiahnuť širšiu službu. Model nemusí poslúchnuť škodlivý pokyn ani vyvolať nebezpečnú operáciu. Nákladná práca vzniká ešte pri príprave obsahu, ktorý má dostať na spracovanie. Bezpečnosť agenta sa preto nekončí kontrolou jeho odpovede. Zahŕňa aj sťahovanie, parsovanie, konverziu a všetky pomocné komponenty medzi externým dokumentom a vstupom jazykového modelu.

Dôležitou podmienkou je, že aplikácia používa dotknutý nástroj na HTML, ktorého obsah môže ovplyvniť útočník. Samotná prítomnosť knižnice v závislostiach ešte nedokazuje praktickú zneužiteľnosť konkrétnej služby. Rozhoduje, či sa nástroj skutočne volá, odkiaľ získava adresy a aké stránky smie načítavať. Posudzovanie rizika by preto malo začať mapovaním reálneho toku údajov, nie iba vyhľadaním názvu balíka v zozname nainštalovaného softvéru.

Opravu dostávajú obe hlavné verzie

Oznámenie uvádza dotknuté balíky pydantic-ai aj pydantic-ai-slim. V prvej hlavnej vetve označuje rozsah od verzie 1.77.0 vrátane po verziu 1.107.9 bez nej. V druhej vetve ide o verzie od 2.0.0 vrátane po 2.59.0 bez nej. Opravenými vydaniami sú 1.107.9 a 2.59.0; správca odporúča tieto alebo neskoršie vydania v príslušnej hlavnej vetve. Tímy na jednotkovej vetve teda nemusia kvôli tejto oprave automaticky prechádzať na dvojkovú.

Pre prevádzkovateľov je to podstatný rozdiel. Bezpečnostná aktualizácia v existujúcej hlavnej vetve môže mať menší migračný rozsah než zmena celej generácie rozhrania. Ani tak by však nasadenie nemalo byť iba úpravou čísla v deklarácii závislostí. Treba overiť skutočne zostavené prostredie, obnovenie bežiacich procesov a výslednú verziu v produkcii. Starý kontajner alebo dlho bežiaci pracovník môže zostať na pôvodnom vydaní aj po zmene projektu.

Kým aktualizáciu nemožno vykonať, správca odporúča vyhnúť sa načítavaniu HTML ovládaného útočníkom cez web_fetch_tool. Ide o konkrétne dočasné opatrenie, nie o tvrdenie, že každé obmedzenie veľkosti stránky problém odstráni. V niektorých aplikáciách môže byť vhodné funkciu dočasne vypnúť alebo zúžiť jej použitie na kontrolované zdroje. Také rozhodnutie však musí vychádzať z účelu služby a z toho, či tím vie pôvod obsahu spoľahlivo kontrolovať.

Zdieľaní pracovníci menia lokálne spomalenie na prevádzkové riziko

Bezpečnostné upozornenie priraďuje problému kategórie CWE-400 a CWE-407. Prvá sa týka nedostatočnej kontroly spotreby obmedzených zdrojov, druhá neefektívnej algoritmickej zložitosti. Nezávislý katalóg MITRE pri týchto kategóriách opisuje riziko vyčerpania procesora, pamäte alebo iných kapacít a následné obmedzenie dostupnosti. Tieto záznamy dopĺňajú technický kontext; nie sú samostatnou reprodukciou chyby v PydanticAI ani potvrdením útokov na konkrétnych prevádzkovateľov.

V praxi je dôležitá hranica medzi jednotlivými úlohami. Ak rovnaká skupina pracovníkov spracúva externé stránky aj ďalšie operácie, neprimeraná spotreba jednej úlohy môže zvýšiť čakanie ostatných. Používateľ pritom nemusí vidieť chybu konverzie. Môže dostať iba pomalú odpoveď, prekročený časový limit alebo dojem, že celý asistent prestal fungovať. Diagnostika zameraná výhradne na latenciu modelového API by tak mohla hľadať príčinu na nesprávnom mieste.

Ako modelový príklad si možno predstaviť podnikového asistenta, ktorý porovnáva informácie z verejných webov a zároveň pripravuje interné odpovede. Ak obe činnosti zdieľajú obmedzené spracovateľské kapacity, problém jednej stránky môže ovplyvniť aj nesúvisiace požiadavky. Nie je to správa o zdokumentovanom incidente, ale ilustrácia mechanizmu opísaného správcom. Skutočný rozsah dopadu závisí od oddelenia procesov, obmedzenia súbehu a ďalších vlastností konkrétnej aplikácie.

Aktualizácia má prednosť pred improvizovanými filtrami

Prvým odporúčaním zostáva nasadiť opravené vydanie. Doplnkové prevádzkové kontroly majú zmysel ako ďalšia ochranná vrstva, nie ako neoverená náhrada opravy. MITRE pri vyčerpávaní zdrojov uvádza napríklad obmedzovanie požiadaviek a kontrolu kapacít, ktoré môže používateľ spotrebovať. Pri agentických aplikáciách z toho vyplýva potreba sledovať nielen počet volaní modelu, ale aj náklady pomocných nástrojov a spôsob, akým medzi sebou súťažia o spoločné zdroje.

Odporúčaním redakcie je oddeliť spracovanie nedôveryhodných dokumentov od kritických operácií tam, kde to prevádzka umožňuje. Užitočné môže byť aj obmedzenie počtu súbežných konverzií a sledovanie dĺžky ich čakania. Tieto návrhy sú všeobecnými architektonickými opatreniami, nie výsledkom testovania konkrétnej opravy. Bez merania nemožno tvrdiť, že určitá konfigurácia úplne odstráni riziko alebo že nastavený časový limit zastaví všetku prácu prebiehajúcu na pozadí.

Rovnako opatrne treba pristupovať k opakovaniu neúspešných požiadaviek. Ak sa pri spomalení automaticky spúšťajú ďalšie pokusy, aplikácia môže ešte zvýšiť tlak na už obsadené kapacity. Pri overovaní aktualizácie preto nestačí skúsiť jednu bežnú stránku. Tím by mal v izolovanom testovacom prostredí sledovať aj súbežnú prácu a správanie nesúvisiacich požiadaviek. Cieľom je potvrdiť dostupnosť celej služby, nielen úspešný návrat samotného nástroja.

Nie je to tá istá chyba ako únik údajov v telemetrii

Nové upozornenie treba odlíšiť od nedávnej opravy telemetrie MCP, ktorej sa AI Feed venoval v predchádzajúcom prehľade. Aktuálny problém sa týka dostupnosti pri konverzii HTML. Nemožno naň automaticky prenášať tvrdenia o odhalených autorizačných údajoch ani odporúčania na rotáciu prihlasovacích údajov. Bezpečnostné opravy v rovnakej knižnici môžu riešiť úplne odlišné hranice systému a vyžadovať inú reakciu prevádzkovateľa.

Ani skóre CVSS 7,5 neznamená, že každá aplikácia s PydanticAI má rovnakú mieru rizika. Zverejnený vektor hodnotenia opisuje sieťový útok s nízkou zložitosťou, bez požadovaných oprávnení a interakcie používateľa, s vysokým dopadom na dostupnosť. Hodnotenie neuvádza dopad na dôvernosť ani integritu. Pri rozhodovaní o naliehavosti treba tieto vlastnosti spojiť s tým, či konkrétna služba vôbec sprístupňuje dotknutú cestu spracovania externého HTML.

Samostatnou témou sú ďalšie zmeny vydania 2.59.0. Poznámky k vydaniu uvádzajú napríklad úpravy reprezentácie výsledkov nástrojov a ochrany pred falšovaním správ v sumarizačných vstupoch. To však nie je dôkaz, že ide o súčasť tej istej zraniteľnosti. Pri bezpečnostnej komunikácii je presnosť dôležitejšia než počet zmien: každé tvrdenie o konkrétnej chybe má zostať naviazané na jej vlastné oznámenie a zdokumentovaný dopad.

Čo to znamená pre slovenské tímy

Pre slovenskú firmu prevádzkujúcu asistenta nad verejnými dokumentmi je najpraktickejšou otázkou, kto rozhoduje o načítavaných adresách. Iné riziko má pevný zoznam kontrolovaných dokumentov a iné služba, ktorá prijíma odkazy od zákazníkov alebo ich vyberá z výsledkov vyhľadávania. Ani známa doména však sama osebe nie je úplnou zárukou bezpečného obsahu. Záleží aj na tom, kto môže publikovať konkrétnu stránku a ako sa jej obsah mení.

Menšie vývojárske tímy by mali do kontroly zahrnúť aj aplikácie dodané externým partnerom. Názov PydanticAI nemusí byť viditeľný v používateľskom rozhraní, hoci ho služba interne používa. Rozumnou požiadavkou na dodávateľa je potvrdenie dotknutých verzií, použitia web_fetch_tool a nasadenia opravy. Samotná informácia, že systém používa aktuálny jazykový model, o tejto chybe nič nevypovedá: problém leží v nástrojovej vrstve okolo modelu.

Pri službách s dohodnutou dostupnosťou má význam overiť aj rozsah prípadného spomalenia medzi zákazníkmi. Ak sa požiadavky viacerých organizácií spracúvajú v spoločnom procese, prevádzkovateľ potrebuje vedieť, či náročná úloha jedného používateľa ovplyvní ostatných. Neznamená to, že každé zdieľanie je nesprávne. Znamená to, že hranice kapacity a izolácie majú byť vedomým rozhodnutím, nie neviditeľným dôsledkom predvoleného nasadenia.

Čo zatiaľ verejné podklady nepotvrdzujú

Bezpečnostné oznámenie neuvádza dôkazy aktívneho zneužívania, zoznam zasiahnutých organizácií ani univerzálny prah počtu HTML prvkov, pri ktorom problém nastáva. Neposkytuje ani porovnávacie merania výkonu pred opravou a po nej. Z týchto podkladov preto nemožno vyčísliť pravdepodobnosť incidentu v konkrétnej firme alebo sľúbiť určitý nárast výkonu po aktualizácii. V čase overenia upozornenie neuvádzalo známy identifikátor CVE; identifikátor GHSA však problém jednoznačne označuje.

Jadro správy je napriek týmto hraniciam jednoznačné: správca potvrdil problém dostupnosti, vymedzil dotknuté verzie a zverejnil opravy pre obe hlavné vetvy. Pre prevádzkovateľov je to dôvod skontrolovať závislosti aj skutočné používanie webového nástroja. Širšie poučenie je rovnako konkrétne: spoľahlivosť AI agenta nezávisí iba od kvality modelu. Môže ju narušiť aj obyčajná konverzia dokumentu, ak nemá primerane kontrolované zdroje a prevádzkové hranice.