JVNDB-2026-026861

PydanticのPydantic AIにおける不正な認証に関する脆弱性

Pydantic AIは、生成AIを用いたアプリケーションやワークフローを構築するためのPythonエージェントフレームワークです。バージョン1.88.0から1.107.1未満、および2.0.0b1から2.5.0未満において、UIアダプター（Agent.to_ag_ui()/AGUIAdapterを介したAG-UI、およびVercelAIAdapterを介したVercel AI）は、sanitize_messagesを使って信頼されていないメッセージ履歴から未解決の（「ぶら下がった」）クライアント送信ツールコールをエージェントに到達する前に除去しています。これはモデルが生成していないツールコールの実行を防ぐ、多層防御のデフォルト機能です。しかし、この除去処理はsanitizeが実行される前に計算されたメッセージインデックスに基づいて行われていたため、たとえばデフォルトのmanage_system_prompt='server'のもとでクライアントシステムメッセージが空になって除去された場合、直前のアシスタントの応答に含まれる未解決のツールコールが新たな末尾となり、検査なしで送信されてしまいました。この結果、リモートクライアントはモデルが生成した引数ではなく、クライアントが提供した引数で登録済みの非承認サーバーツールを実行させることが可能になりました。影響は対象ツールの動作によって限定され、特にモデルリクエストフック（before_model_request / after_model_request）でツール実行を制御するアプリケーションで重大です。これは、この偽装コールがモデルのターンをスキップしてガードレールを回避するためです。承認が必要なツール（requires_approval=True）はこの経路で自動実行されません。この問題はバージョン1.107.1および2.5.0で修正されています。

Pydantic

• Pydantic AI 1.88.0 以上 1.107.1 未満
• Pydantic AI 2.0.0 以上 2.5.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : UI adapters (AG-UI, Vercel AI): a dangling client-submitted tool call can execute when a trailing message is dropped during `sanitize_messages`  Advisory  pydantic/pydantic-ai  GitHub

1. 不正な認証(CWE-863) [その他]

1. CVE-2026-65975

1. National Vulnerability Database (NVD) : CVE-2026-65975

• [2026年08月05日]
    掲載