CVE-2026-65975 Pydantic AIフレームワークの認証バイパス脆弱性が引き起こすAgentic及びAI Security運用者向け緊急対策ガイド

結論

• 危険度: Medium (CVSS 6.5)
• 対象: (詳細はベンダーアドバイザリ参照)
• 修正: ベンダーアドバイザリ参照
• KEV: No (NVD Critical由来。CISA KEVには未登録)

最終更新: 2026-07-29 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-65975は、Pythonのエージェントフレームワーク「Pydantic AI」で発生する脆弱性です。リモートの攻撃者が、AIモデルが生成していないツールコールを不正に実行させられます。LLMゲートウェイやAgentフレームワーク運用者にとって最優先の対応対象です。

やさしく説明すると

たとえばAIが実行する「道具の呼び出し」には安全な手順があるのに、今回の脆弱性は、クライアントからの「合鍵」を巧みに使われてしまうイメージです。玄関の鍵は閉まっているはずなのに、勝手に別のルートから鍵を作られ、不用意に中に入られてしまいます。結果として、AIモデルが許可しない処理が通ってしまいます。

技術的な原因

この問題はCWE-863「アクセス制御のバイパス（Access Control Bypass）」が根本原因です。Pydantic AIのUIアダプター（AG-UIやVercel AI）は、sanitize_messagesという機能で未解決のツールコールを除去します。ですが、この除去処理は古いメッセージインデックスに基づいており、クライアントの特定メッセージが空になると、直前のアシスタント応答を検査せずに実行してしまいます。つまり、本来守るべきアクセス制御をすり抜けてしまうのです。

影響を受けると何が困るか

• 攻撃者が非承認のサーバーツールを実行できる
• AI GatewayやAgentを運用するシステムで誤動作や情報漏洩が起きる
• ツール呼び出しの認可ガード（before_model_request/after_model_request）が無効化される
• プロンプトインジェクションを介したエージェント乗っ取りのリスクが高まる
• AI駆動開発ツール経由で不正操作がされる可能性

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 中

判断根拠

• CVSS 3.1 スコアは6.5（Medium）。ネットワーク経由で認証不要で攻撃可能です。
• 攻撃複雑度は低く、ユーザ操作不要で起動できます。
• EPSS（実際に悪用される確率）データは未提供で不明です。
• ランサムウェアによる悪用の情報は確認されていません。
• 公開PoC（Proof of Concept）も存在しません。
• 不正なツール呼び出しがモデルのガード（フックスクリプトなど）を回避可能なため注意が必要です。

誰が動くべきか

• LLM Gateway運用チーム（LiteLLM、OpenRouter等）
• Agentフレームワーク開発者（LangChain、AutoGen等）
• RAG（Retrieval-Augmented Generation）パイプライン保守者
• バイブコーダー開発者（Cursor、Cline、Aider、GitHub Copilot、Claude Code等の利用者）
• AIコーディングツール利用者やAI駆動開発チーム

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Python（pip）

pip show pydantic-ai

出力例:

Name: pydantic-ai
Version: 1.107.0
Summary: Python agent framework for Generative AI

判定: Versionが1.88.0以上1.107.1未満、または2.0.0b1以上2.5.0未満なら脆弱です。

設定確認

本脆弱性は設定依存ではありません。対象バージョンであれば脆弱です。

Nucleiテンプレートでの検出

公開されたNucleiテンプレートは存在しません。バージョン確認が確実な検出方法です。

STEP 4: 修正を適用する

パッチ適用

Python (pip)

pip install --upgrade pydantic-ai

判定: バージョンが1.107.1以上、または2.5.0以上にアップデートできれば修正済みです。

注意: パッチ適用前に必ず環境のバックアップを実施し、ステージング環境で動作確認を行ってください。ダウンタイム措置も計画的に実施してください。

パッチ即時適用ができない場合の暫定対応

現時点で公式の暫定対応は提示されていません。影響を受けるAI GatewayやAgentのネットワークアクセス制御や、不審なツール呼び出しを検知するログ監視強化を推奨します。

STEP 5: 修正されたことを確認する

STEP 3 で実行したバージョン確認コマンドを再度実施してください。

期待される出力

Python（pip）

pip show pydantic-ai

出力例:

Name: pydantic-ai
Version: 1.107.1
Summary: Python agent framework for Generative AI

判定: バージョンが 1.107.1 以上、、または 2.5.0 以上なら安全です。

追加で確認すべきこと

• 脆弱だった旧バージョンでの不審なアクセスログやツールコール記録がないか監査する
• パッチ適用後に同様の脆弱性を検知する可能性のあるスキャニングツールを再実行する

補足: 悪用観測状況

現時点でCISA KEVへの登録はなく、ランサムウェアグループによる悪用や公開されたPoCもありません。GitHub上の公開PoCも存在しないため、重大な悪用は未確認です。ただし、低権限でツールの不正実行が可能なため警戒が必要です。

補足: CVSSメトリクス詳細

• AV（攻撃元）: NETWORK – ネットワーク越しに攻撃可能
• AC（攻撃複雑度）: LOW – 攻撃は簡単に実行できる
• PR（必要権限）: NONE – 認証や特別な権限不要
• UI（ユーザ操作）: NONE – ユーザの操作なしで成立
• S（スコープ）: UNCHANGED – 影響範囲は変わらず
• C（機密性影響）: LOW – 情報漏洩の可能性がある
• I（完全性影響）: LOW – データ改ざんの可能性がある
• A（可用性影響）: NONE – サービス停止は起こりにくい

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. STEP 3でバージョン確認をし、脆弱なバージョンを使っている場合はSTEP 4でパッチを適用してください。最後にSTEP 5で修正の確認を行うのが最低限の対応です。

Q. パッチが適用できない場合、どうすればよいですか？

A. STEP ４の暫定対応を実施してください。具体的には影響を受けるサーバのネットワーク制御強化やログ監視を徹底し、不審なツールコールを検知できる体制を構築してください。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. クライアントからの不正ツール呼び出しや、予期しないサーバーツールの実行ログを監査してください。現時点では具体的なIOCは公式発表にありません。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは脆弱性の理論値的な危険度を示しますが、EPSSは「実際にどれくらい悪用されるかの確率」を示します。両方を確認すると優先度判断がより正確になります。

Q. このCVEと類似の脆弱性は他にもありますか？

A. CWE-863の分類に該当するアクセス制御バイパスは類似した脆弱性が過去にもあります。Pydantic AI以外のAgentフレームワークやLLMプロキシ製品でも警戒が必要です。

参考文献

• NVD – CVE-2026-65975
• GitHub Pydantic AI Security Advisory
• JVN iPedia – CVE-2026-65975
• CISA KEV Catalog

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• Medium脆弱性 に関するCVE・脆弱性記事一覧
• authz に関するCVE・脆弱性記事一覧
• AI Agent に関するCVE・脆弱性記事一覧
• 機械学習 に関するCVE・脆弱性記事一覧
• Python に関するCVE・脆弱性記事一覧