Peringatan Ancaman

Framework LangChain yang banyak dipakai untuk membangun aplikasi berbasis LLM ternyata mengandung kerentanan serius CVE-2025-68664 dengan skor CVSS 9.3 (Critical). Celah ini memungkinkan serangan prompt injection yang awalnya “hanya” mengacaukan jawaban model berubah menjadi serangan yang dapat mencuri environment variables dan memicu operasi berbahaya di backend aplikasi.​

Di mana letak masalahnya?

Masalah ada di fungsi serialisasi dumps() / dumpd() milik LangChain. Fungsi ini digunakan untuk menyimpan/mentransmisikan objek internal LangChain (seperti chain, tool, atau konfigurasi) dalam bentuk dictionary/JSON. Kerentanan muncul karena fungsi tersebut tidak melakukan escaping dengan benar pada key dictionary tertentu, khususnya key yang diawali atau terkait dengan entri "lc" (LangChain).​

Akibatnya, input berbahaya yang menyisipkan struktur "lc" palsu dapat diperlakukan seolah‑olah itu adalah objek LangChain yang sah. Jika aplikasi LLM menerima input dari pengguna (misalnya dari prompt, tool, atau plugin) lalu menyerialisasikan/menyimpan/memuatnya kembali dengan fungsi ini, penyerang bisa:

• Menyusun payload yang memaksa LangChain membangun ulang objek berbahaya

• Menyalahgunakan objek tersebut untuk mengakses secret, environment variables, atau fungsi yang seharusnya tidak terekspos

Dengan kata lain, prompt injection yang biasanya hanya mengacaukan output model sekarang bisa melompati batas dan menyentuh lapisan sistem di belakang model.​

Versi yang terdampak

Kerentanan ini memengaruhi:​

• LangChain Core: versi < 0.3.81

• LangChain (paket utama): versi ≥ 1.0.0 dan < 1.2.5

Aplikasi yang dibangun di atas versi‑versi ini, terutama yang:

• Mengizinkan input bebas dari pengguna

• Menyimpan atau memproses struktur LangChain hasil input tersebut melalui dumps()/dumpd()
  berada dalam risiko lebih tinggi.

Dampak bagi aplikasi LLM dan data sensitif

Jika berhasil dieksploitasi, penyerang berpotensi:​

• Mencuri environment variables (misalnya API key, database credentials, token akses)

• Mengakses atau memanggil operation internal yang seharusnya tidak boleh dipicu dari prompt (misalnya file read, network call tertentu, atau tool sensitif)

• Mengubah perilaku chain atau agent untuk mengirim data ke endpoint eksternal

Ini mengubah ancaman prompt injection dari sekadar manipulasi output menjadi serangan langsung terhadap kerahasiaan dan integritas sistem backend.

Rekomendasi untuk developer dan tim AI

1. Segera update LangChain

   • LangChain Core → minimal 0.3.81

   • LangChain → minimal 1.2.5​

2. Audit penggunaan dumps()/dumpd()

   • Cari di codebase semua penggunaan fungsi tersebut.

   • Pastikan Anda tidak pernah menyerialisasikan data yang mengandung input user mentah tanpa validasi.

3. Perketat boundary antara prompt dan sistem

   • Jangan memetakan isi prompt langsung menjadi struktur konfigurasi/objek tanpa whitelist dan parsing ketat.

   • Hindari pola di mana user dapat “menyusun” objek LangChain secara tidak langsung melalui input teks.

4. Hardening environment

   • Simpan secret di secret manager atau vault, bukan sekadar environment variables yang mudah diakses.

   • Jalankan aplikasi LLM di environment terisolasi dengan prinsip least privilege.

5. Tambahkan kontrol anti‑prompt‑injection

   • Terapkan sanitasi konten dan filter pada input yang berpotensi memengaruhi chain, tool, atau konfigurasi internal.

   • Log dan pantau permintaan yang mencoba mengubah struktur sistem atau meminta akses ke konfigurasi internal.

Kesimpulan

CVE‑2025‑68664 menunjukkan bahwa di ekosistem AI modern, prompt injection bukan lagi sekadar masalah “jawaban aneh”, tetapi bisa menjadi pintu masuk ke pencurian secret dan penyalahgunaan infrastruktur jika boundary antara LLM dan sistem di bawahnya tidak dijaga dengan benar. Update ke LangChain Core 0.3.81 dan LangChain 1.2.5, ditambah review arsitektur, wajib dilakukan untuk menutup celah ini.​

Sumber:

• SecurityOnline – laporan “The LC Leak: Critical 9.3 Severity LangChain Flaw Turns Prompt Injections into Secret Theft” yang mengulas detail CVE‑2025‑68664, versi terdampak, dan versi patch.​