JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-026861 Pydantic AIは、生成AIを用いたアプリケーションやワークフローを構築するためのPythonエージェントフレームワークです。バージョン1.88.0から1.107.1未満、および2.0.0b1から2.5.0未満において、UIアダプター（Agent.to_ag_ui()/AGUIAdapterを介したAG-UI、およびVercelAIAdapterを介したVercel AI）は、sanitize_messagesを使って信頼されていないメッセージ履歴から未解決の（「ぶら下がった」）クライアント送信ツールコールをエージェントに到達する前に除去しています。これはモデルが生成していないツールコールの実行を防ぐ、多層防御のデフォルト機能です。しかし、この除去処理はsanitizeが実行される前に計算されたメッセージインデックスに基づいて行われていたため、たとえばデフォルトのmanage_system_prompt='server'のもとでクライアントシステムメッセージが空になって除去された場合、直前のアシスタントの応答に含まれる未解決のツールコールが新たな末尾となり、検査なしで送信されてしまいました。この結果、リモートクライアントはモデルが生成した引数ではなく、クライアントが提供した引数で登録済みの非承認サーバーツールを実行させることが可能になりました。影響は対象ツールの動作によって限定され、特にモデルリクエストフック（before_model_request / after_model_request）でツール実行を制御するアプリケーションで重大です。これは、この偽装コールがモデルのターンをスキップしてガードレールを回避するためです。承認が必要なツール（requires_approval=True）はこの経路で自動実行されません。この問題はバージョン1.107.1および2.5.0で修正されています。 cpe:/a:pydantic:pydantic_ai https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-026861.html Common Vulnerabilities and Exposures (CVE) CVE-2026-65975 https://www.cve.org/CVERecord?id=CVE-2026-65975 National Vulnerability Database (NVD) CVE-2026-65975 https://nvd.nist.gov/vuln/detail/CVE-2026-65975 GitHub UI adapters (AG-UI, Vercel AI): a dangling client-submitted tool call can execute when a trailing message is dropped during `sanitize_messages` Advisory pydantic/pydantic-ai GitHub https://github.com/pydantic/pydantic-ai/security/advisories/GHSA-jpr8-2v3g-wgf9 JVNDB CWE-863 https://cwe.mitre.org/data/definitions/863.html 2026-08-05T16:37:03+09:00 2026-08-05T16:37:03+09:00