原文

Pydantic AIは、生成AIを用いたアプリケーションやワークフローを構築するためのPythonエージェントフレームワークです。バージョン1.88.0から1.107.1未満、および2.0.0b1から2.5.0未満において、UIアダプター（Agent.to_ag_ui()/AGUIAdapterを介したAG-UI、およびVercelAIAdapterを介したVercel AI）は、sanitize_messagesを使って信頼されていないメッセージ履歴から未解決の（「ぶら下がった」）クライアント送信ツールコールをエージェントに到達する前に除去しています。これはモデルが生成していないツールコールの実行を防ぐ、多層防御のデフォルト機能です。しかし、この除去処理はsanitizeが実行される前に計算されたメッセージインデックスに基づいて行われていたため、たとえばデフォルトのmanage_system_prompt='server'のもとでクライアントシステムメッセージが空になって除去された場合、直前のアシスタントの応答に含まれる未解決のツールコールが新たな末尾となり、検査なしで送信されてしまいました。この結果、リモートクライアントはモデルが生成した引数ではなく、クライアントが提供した引数で登録済みの非承認サーバーツールを実行させることが可能になりました。影響は対象ツールの動作によって限定され、特にモデルリクエストフック（before_model_request / after_model_request）でツール実行を制御するアプリケーションで重大です。これは、この偽装コールがモデルのターンをスキップしてガードレールを回避するためです。承認が必要なツール（requires_approval=True）はこの経路で自動実行されません。この問題はバージョン1.107.1および2.5.0で修正されています。