从SQL注入到远程代码执行：利用LangGraph的检查点漏洞（2026-07-05）

当AI应用开发遇上传统安全漏洞，后果可能比你想象的更严重。LangGraph作为构建智能体工作流的流行框架，其检查点（Checkpoint）机制本是为状态持久化而生，但不当的实现却可能成为黑客手中的“万能钥匙”。

漏洞如何运作？从一次“友好”输入开始

检查点的“双面性”

LangGraph的检查点允许开发者在智能体执行过程中保存中间状态，以便后续恢复或调试。然而，如果检查点数据被直接写入数据库而未经过充分清理，攻击者就能通过精心构造的输入，触发经典的SQL注入攻击。

典型案例：AI客服的“失控”时刻

某金融科技公司使用LangGraph构建智能客服系统，其检查点状态存储在PostgreSQL中。安全研究员发现，当用户输入“I want to close account； DROP TABLE users； --”时，LangGraph的检查点保存器未能正确转义该字符串，直接拼接进了SQL查询。

实际后果：

• 数据库中的用户表被清空
• 客服系统完全瘫痪
• 攻击者通过检查点路径进一步利用文件读取功能，执行了系统命令（RCE）

数据警示：安全不仅仅是开发者的“后端事”

根据2025年《AI应用安全报告》：

• 68% 的AI应用使用外部持久化存储（数据库、文件系统）
• 42% 的LangGraph项目在检查点实现中存在至少一种注入风险
• 从SQL注入到RCE的平均攻击路径长度仅为 3步

实用建议：保护你的LangGraph检查点

1. 强制参数化查询

无论使用哪种数据库，永远不要拼接SQL字符串。使用类似以下方式：

# 安全做法
cursor.execute("INSERT INTO checkpoints (state) VALUES (%s)", (state_data,))

2. 对检查点数据实施“最小存储原则”

只保存必须的状态字段，不要将用户原始输入整个存入检查点。

3. 启用额外的输出过滤

即使数据库是安全的，也从检查点返回给智能体的数据可能再次成为攻击向量。使用正则或白名单过滤所有输出。

4. 隔离检查点存储

考虑将检查点数据存储在内存或只读文件系统中，避免直接暴露给Web层。

行动号召

立即检查你的LangGraph项目：

• 扫描所有检查点保存逻辑，确认没有使用字符串拼接
• 对所有检查点字段实施输入输出双重过滤
• 运行一次渗透测试，重点模拟SQL注入和RCE场景

安全不是开发周期的“事后补丁”，而是AI应用从第一天就该考虑的核心架构。现在动手保护你的检查点，否则可能就会成为下一个案例中的“受害者”。

免责声明： 本文仅用于网络安全教育和防御研究。文中提及的技术和方法仅供安全从业者、开发人员在合法授权范围内进行安全测试与防御加固。未经授权对他人系统进行任何形式的攻击、破坏或数据窃取属于违法行为，作者和平台不承担任何由此产生的法律责任。请在学习和实践时始终遵守相关法律法规。