Pydantic AI 修复高危漏洞：嵌套 JSON 可膨胀数百倍拖垮进程
caolonghua · x · 2026-11-05
Pydantic AI v2.66.0 修复了本地 web-fetch 回退实现中的一个高危问题。
- 问题：webfetchtool 在应用返回内容上限之前会对 JSON 响应重新缩进，攻击者可控制或影响被抓取 URL 时，一个在下载限额内的深度嵌套文档可膨胀至原体积数百倍，占用大量内存并阻塞同进程其他任务
- 不受影响：使用厂商原生 web fetching 的应用
- 修复版本：pydantic-ai 与 pydantic-ai-slim 的 v2.66.0 及 v1.107.10
用 agent 框架抓取不可控 URL 的开发者建议尽快升级。