Tác giả: Maya, Trưởng phòng Nội dung tại Evvo Labs | 2026-06-11 | Trụ cột 2: Bảo mật AI & LLM
Phiên bản 60 giây
Nếu bạn xây dựng ứng dụng LLM trên LangChain hoặc LangGraph — framework chiếm phần lớn các triển khai AI tác nhân trong môi trường production — thì stack công nghệ của bạn đang đối mặt với một chuỗi các CVE nghiêm trọng đã được công bố, có khả năng biến prompt injection thành thực thi mã từ xa, đánh cắp biến môi trường và chiếm đoạt cơ sở dữ liệu. Trong khoảng thời gian sáu tuần vào mùa xuân năm 2026, các nhà nghiên cứu đã công bố các lỗ hổng nghiêm trọng trong LangChain (CVE-2025-68664, CVSS 9.3; CVE-2026-34070, CVSS 7.5), LangGraph (CVE-2025-67644, CVSS 7.3; CVE-2025-64439), Microsoft Semantic Kernel, PraisonAI và FlowiseAI. Nhiều lỗ hổng trong số này được kết hợp với indirect prompt injection để leo thang từ “người dùng nhập một prompt” thành “kẻ tấn công kiểm soát máy chủ.” Các lỗ hổng đã được vá. Tuy nhiên, mô hình kiến trúc khiến chúng trở nên nguy hiểm — các tác nhân tin tưởng thông điệp từ tác nhân ngang hàng, tác nhân thực thi mã do LLM tạo ra, trạng thái chia sẻ không có xác minh nguồn gốc — vẫn tồn tại.
Bài viết này là bản phân tích kỹ thuật chuyên sâu. Nó bao gồm các CVE đã công bố, các mô hình tấn công mới mà chúng cho phép (đặc biệt là trên các pipeline đa tác nhân), và những gì mà các đội ngũ vận hành AI tác nhân trong production cần làm trong quý này.
1. Tại sao LangChain quan trọng hơn mức cần thiết
LangChain và người bạn đồng hành có trạng thái LangGraph chống đỡ một phần không cân xứng của thị trường AI tác nhân. Khi Cyera Research công bố tiết lộ phối hợp “LangDrained” vào ngày 27 tháng 3 năm 2026, nó không ảnh hưởng đến một ứng dụng — mà ảnh hưởng đến mọi triển khai tác nhân được xây dựng trên các framework này. Đó là sự tập trung rủi ro hạ tầng mà trong phần mềm truyền thống sẽ được đo ở cấp độ của toàn bộ hệ điều hành hoặc container runtime. Trong AI tác nhân, nó được đo ở cấp độ của một gói Python.
Nghiên cứu điển hình của Microsoft về CVE-2025-68664 (lỗi tuần tự hóa lõi LangChain, còn được gọi là “LangGrinch”) đã chỉ ra điều đó: “Lỗ hổng này phơi bày các rủi ro liên quan đến việc giải tuần tự hóa không an toàn trong các hệ sinh thái tác nhân phụ thuộc nhiều vào trao đổi siêu dữ liệu có cấu trúc.” Cùng một tư vấn khuyến nghị các biện pháp kiểm soát mà bạn sẽ khuyến nghị cho một pipeline CI/CD bị xâm phạm — vá ngay, kiểm tra mức độ phơi nhiễm, phân đoạn niềm tin.
Bài học ở đây là rủi ro framework trong AI tác nhân giờ đây là mối quan tâm cấp ban lãnh đạo, không phải cấp lập trình viên.
2. Cụm tiết lộ mùa xuân 2026
Bản thân mô hình các tiết lộ đã là câu chuyện. Các nhà nghiên cứu tại Cyera, Cyata, Invariant Labs, Trend Micro ZDI, Microsoft và Cloud Security Alliance đã tạo ra một chuỗi gần như liên tục các tiết lộ nghiêm trọng nhắm vào các framework tác nhân trong khoảng thời gian sáu tuần. Bảng dưới đây là mức tối thiểu mà mọi đội ngũ phát hành tác nhân dựa trên LangChain phải biết:
| CVE | Framework | CVSS | Phân loại | Phiên bản vá |
Mô hình xuyên suốt tất cả: prompt injection không còn chỉ là vấn đề lọc nội dung. Nó là vector truy cập ban đầu dẫn đến kết quả thực thi mã, đọc tệp và chiếm đoạt cơ sở dữ liệu. Phân tích của CSA về cụm này nêu rõ: “Prompt injection đóng vai trò là vector truy cập ban đầu, cho phép khai thác hạ lưu các lỗ hổng nghiêm trọng hơn trong nhiều CVE được ghi nhận ở đây, thay vì chỉ hoạt động như một rủi ro độc lập.”
Đây là hình dạng giống với chuỗi lỗ hổng web cổ điển thập niên 2010 — XSS → SSRF → đánh cắp metadata đám mây → đánh cắp thông tin xác thực → di chuyển ngang. Vào năm 2026, prompt injection đã đảm nhận vai trò của XSS trong chuỗi tấn công tác nhân mới.
3. Giải phẫu CVE-2025-68664 (LangGrinch) — Một prompt trở thành mã như thế nào
LangChain sử dụng định dạng tuần tự hóa tùy chỉnh để duy trì trạng thái giữa các thành phần. Để phân biệt giữa dữ liệu và đối tượng LangChain đáng tin cậy, framework sử dụng một khóa từ điển dành riêng: lc. Trong quá trình giải tuần tự hóa, bất kỳ từ điển nào chứa lc đều được diễn giải không phải là đầu vào của người dùng, mà là một đối tượng LangChain đã được tuần tự hóa.
Lỗi: các hàm dumps() và dumpd() không thoát đúng cách hoặc vô hiệu hóa khóa lc khi xử lý các từ điển do người dùng kiểm soát. Nếu kẻ tấn công có thể tiêm một từ điển chứa lc vào một luồng dữ liệu sau đó được giải tuần tự hóa, framework sẽ tái tạo một đối tượng độc hại — khởi tạo các lớp tùy ý có thể truy cập được từ langchain-core và langchain-community.
Trong các cấu hình sử dụng Jinja2 prompt templates, đường dẫn khởi tạo lớp đó sẽ đến template engine và đạt được thực thi mã tùy ý (arbitrary code execution).
Trong các triển khai thực tế trước khi vá, điều này đã được sử dụng để:
- **Trích xuất các biến môi trường** — mọi khóa API, thông tin xác thực cơ sở dữ liệu, token dịch vụ đám mây, bí mật cấu hình.
- **Khởi tạo các lớp ngoài ý muốn** trong quá trình tái tạo đối tượng, tạo ra các đối tượng nội bộ do kẻ tấn công kiểm soát mà orchestrator coi là đáng tin cậy.
- **Đạt được RCE cấp máy chủ** trong các cấu hình có sử dụng Jinja2 template.
Tiết lộ ghi nhận rằng một số công ty đã bị rò rỉ dữ liệu khách hàng và đào tiền mã hóa (cryptomining) trên cơ sở hạ tầng đám mây của họ trước khi bản vá được phát hành. Đây không phải là CVSS 9.3 lý thuyết — đó là CVSS 9.3 với các nạn nhân được nêu tên.
4. Hệ số nhân đa tác nhân
Triển khai LangChain đơn tác nhân đã đủ tệ. Triển khai LangGraph đa tác nhân là một vấn đề bảo mật hoàn toàn khác.
LangGraph được thiết kế đặc biệt để hỗ trợ các quy trình đa tác nhân có trạng thái trong đó các tác nhân chuyên biệt cộng tác, ủy thác nhiệm vụ và truyền thông tin cho nhau. Kiến trúc này tạo ra các đường di chuyển ngang không tồn tại trong triển khai đơn tác nhân. Nghiên cứu “Living Off the Agent” (LOTA) của CSA từ tháng 5 năm 2026 đã ghi nhận mô hình này:
- Một tác nhân bị xâm phạm có đặc quyền thấp gửi thông điệp cho một tác nhân ngang hàng có đặc quyền cao hơn.
- Tác nhân có đặc quyền cao hơn coi thông điệp đó là một chỉ thị vận hành đáng tin cậy (bởi vì hiện không có tiêu chuẩn nào cho xác thực giữa các tác nhân hoặc xác minh tính toàn vẹn thông điệp).
- Tác nhân có đặc quyền cao hơn thực thi các chỉ thị được nhúng — rò rỉ dữ liệu, leo thang quyền hạn, hoặc chuyển tiếp thông tin xác thực cho tác nhân hạ lưu của kẻ tấn công.
- Sử dụng `langchain-core >= 1.2.22` (hoặc nhánh 0.3.x >= `0.3.81`).
- Sử dụng `langgraph-checkpoint >= 3.0` và `langgraph-checkpoint-sqlite >= 3.0.1`.
- Sử dụng `langchain-openai >= 1.1.14` và `langchain-text-splitters >= 1.1.2`.
- Duy trì **SBOM có thể đọc bằng máy** cho stack tác nhân để các CVE lan truyền vào quy trình quản lý lỗ hổng hiện có của bạn.
- Vá FlowiseAI lên `>= 3.1.0` và Microsoft Semantic Kernel lên phiên bản mới nhất nếu sử dụng.
- Coi mọi đầu vào đến LLM là không đáng tin cậy, **bao gồm dữ liệu được truy xuất từ chính kho vector, knowledge base hoặc phản hồi công cụ của bạn**.
- Áp dụng làm sạch đầu vào ở **ranh giới của tác nhân, không phải ở ranh giới của mô hình**. Mô hình không thể là ranh giới bảo mật.
- Triển khai **danh sách cho phép theo từng công cụ** với tập tham số tối thiểu cần thiết. Không cấp cho tác nhân quyền truy cập `python_eval`, `subprocess` hoặc `requests` không giới hạn.
- Ký mật mã hoặc chứng minh **nguồn gốc của các thông điệp giữa các tác nhân** trong hệ thống đa tác nhân. Báo cáo LOTA của CSA nêu rõ: *”Yếu tố bảo vệ chính không phải là cấu trúc liên kết mà là kiểm soát nguồn gốc thông điệp.”*
- Thực thi mã do LLM tạo ra trong **sandbox đóng** (gVisor, Firecracker hoặc container tạm thời từ xa) không có quyền truy cập mạng đến các dịch vụ nội bộ.
- Áp dụng **thời gian chờ theo từng công cụ, cô lập mạng và ngân sách tài nguyên**. Một công cụ có thể chặn vĩnh viễn hoặc mở kết nối TCP tùy ý là một công cụ sẽ trở thành điểm chuyển tiếp.
- Vô hiệu hóa bất kỳ công cụ nào đánh giá mã do LLM tạo ra mà không có sandbox. Đây là những gì mà `CVE-2026-41264` (Flowise CSV Agent) và `CVE-2025-68664` (PALChain + Jinja2) đã khai thác.
- Ghi lại mọi lệnh gọi công cụ của tác nhân, mọi thông điệp giữa các tác nhân và mọi chuyển đổi trạng thái ở định dạng có cấu trúc. Ghi chú chuỗi tấn công do LLM điều phối của CSA khuyến nghị ghi log có cấu trúc cho *tất cả* các lệnh gọi công cụ tác nhân trong bất kỳ quy trình tác nhân nào có quyền truy cập vào hệ thống nội bộ, cơ sở dữ liệu hoặc API đám mây — trong vòng 30 đến 90 ngày.
- Áp dụng **phát hiện bất thường** ở cấp lệnh gọi công cụ: tăng đột biến sử dụng API, chuỗi công cụ bất ngờ, mẫu giao dịch bất thường, sử dụng công cụ đột ngột bởi một tác nhân chưa bao giờ sử dụng công cụ đó trước đây. Đây là các tín hiệu phát hiện ASI02 của OWASP.
- Đối chiếu hành vi tác nhân với **các chữ ký tấn công đã biết** (ví dụ: bộ quy tắc ATR-2026 từ `agentthreatrule.org`) để phát hiện chuyển tiếp thông tin xác thực, đảm nhận vai trò và yêu cầu leo thang đặc quyền.
- Yêu cầu xác nhận rõ ràng của con người cho bất kỳ hành động nào có **tác động không thể đảo ngược hoặc có thể nhìn thấy bên ngoài** — giao tiếp gửi đi, xóa bản ghi, thay đổi danh sách kiểm soát truy cập, giao dịch tài chính, triển khai production.
- Áp dụng **Khung Quản trị AI cho Tác nhân của PDPC Singapore** (tháng 1 năm 2026) làm đường cơ sở: xác định ranh giới rõ ràng cho hành vi tác nhân, chỉ định các bên chịu trách nhiệm cho sự cố tác nhân và nhúng các biện pháp bảo vệ kỹ thuật trong hệ thống tác nhân.
- Triển khai **phát hiện dựa trên không gian tiềm ẩn** (ví dụ: khung ICON, arXiv 2602.20708), trong đó mô hình thể hiện *”sự sụp đổ chú ý”* trên các token bị tiêm. ICON đạt được **0,4% tỷ lệ thành công tấn công với mức tăng >50% về tiện ích tác vụ** so với đường cơ sở từ chối quá mức — và quan trọng là, nó có thể khái quát hóa qua các họ mô hình.
OWASP Top 10 cho Agentic Applications (2026) đã nâng mô hình chính xác này lên ASI03: Lạm dụng danh tính & đặc quyền và ASI07: Giao tiếp giữa các tác nhân không an toàn. Quy tắc phát hiện đi kèm (ATR-2026-00074: Leo thang đặc quyền xuyên tác nhân) định nghĩa nó là: “Kẻ tấn công khai thác kiến trúc đa tác nhân bằng cách để một tác nhân bị xâm phạm hoặc có đặc quyền thấp chuyển tiếp thông tin xác thực, đảm nhận vai trò của các tác nhân có đặc quyền cao hơn, hoặc vượt qua các kiểm soát của orchestrator thông qua nhắn tin trực tiếp giữa các tác nhân.”
Một ví dụ thực tế: ServiceNow Now Assist (tháng 11 năm 2025). Các nhà nghiên cứu tại AppOmni đã tiết lộ một lỗ hổng prompt injection bậc hai trong nền tảng Now Assist của ServiceNow: người dùng có đặc quyền thấp có thể nhúng các chỉ thị trong mô tả case dịch vụ. Khi một tác nhân có đặc quyền cao hơn xử lý case đó, nó sẽ xuất các tệp case nhạy cảm và leo thang quyền tài khoản — mà không cần bất kỳ sự xâm phạm nào đối với cơ sở hạ tầng bên dưới. Khai thác niềm tin thuần túy giữa các tác nhân.
Mô hình cascade tổng quát hóa, được chuẩn hóa bởi redteams.ai:
1. Kẻ tấn công đầu độc một trang web
2. Tác nhân Nghiên cứu tìm nạp trang → bị xâm phạm
3. Tác nhân Nghiên cứu gửi tóm tắt cho Tác nhân Phân tích → lan truyền
4. Tác nhân Phân tích tham vấn Tác nhân Cơ sở dữ liệu để lấy dữ liệu → di chuyển ngang
5. Tác nhân Cơ sở dữ liệu trả về dữ liệu nhạy cảm cho Tác nhân Phân tích
6. Tác nhân Phân tích bao gồm dữ liệu nhạy cảm trong báo cáo cuối cùng
7. Báo cáo được gửi cho người dùng với dữ liệu bị rò rỉ được nhúng
Bán kính tác động tăng theo số lượng tác nhân trong chuỗi bởi vì mỗi tác nhân bổ sung thêm công cụ, quyền hạn và nguồn dữ liệu của riêng nó vào hoạt động bị xâm phạm.
5. Bản đồ bề mặt tấn công 2026
Sau đây là phân loại hoạt động mà các đội ngũ phòng thủ cần ánh xạ stack của họ vào. Mỗi mục là một lớp tấn công đã được ghi nhận, không phải suy đoán.
5.1 Indirect Prompt Injection (IPI) — Truy cập ban đầu
Đường cơ sở. Tiêu chuẩn học thuật INJECAGENT từ ACL 2024 cho thấy một tác nhân GPT-4 dựa trên prompt dễ bị indirect prompt injection tấn công 24% thời gian, tăng lên 47% khi được củng cố bằng “hacking prompt.” Một cuộc thi red team công cộng quy mô lớn vào tháng 3 năm 2026 do UK AISI và US CAISI tổ chức, chạy trên 13 mô hình tiên tiến với 272.000 lần thử tấn công từ 464 người tham gia, phát hiện tất cả các mô hình đều dễ bị tổn thương, với tỷ lệ thành công tấn công từ 0,5% (Claude Opus 4.5) đến 8,5% (Gemini 2.5 Pro) — và quan trọng là, 8.648 cuộc tấn công thành công đã che giấu sự xâm phạm trong phản hồi cuối cùng hướng đến người dùng, khiến nạn nhân không nhận thức được sự thao túng.
5.2 Lạm dụng công cụ — Ranh giới đặc quyền
OWASP ASI02 và lạm dụng công cụ kiểu Microsoft. Tiêu chuẩn INJECAGENT cũng cho thấy rằng thời gian phát hiện trung bình đối với việc rò rỉ do indirect injection điều khiển là 47 ngày đối với các hệ thống dựa trên RAG. ToolHijacker (arXiv 2504.19793) đã chứng minh một cuộc tấn công dựa trên tối ưu hóa thao túng quá trình lựa chọn công cụ của tác nhân bằng cách tiêm các mô tả công cụ độc hại vào thư viện công cụ — khiến tác nhân chọn công cụ của kẻ tấn công cho các tác vụ hợp pháp của người dùng.
5.3 Đầu độc bộ nhớ — Sự bền bỉ
OWASP ASI06. ConversationBufferMemory và VectorStoreRetrieverMemory của LangChain lưu trữ ngữ cảnh lịch sử để tác nhân duy trì tính liên tục của quyết định. Những kẻ tấn công thao túng bộ nhớ này bằng cách tiêm ngữ cảnh sai lệch vào hệ thống truy xuất, khiến tác nhân đưa ra các quyết định sai lệch một cách nhất quán — phê duyệt giao dịch gian lận, phân loại sai cảnh báo bảo mật. Promptware Kill Chain của CSA (tháng 1 năm 2026) đã phân tích 36 nghiên cứu thực tế và xác định 21 cuộc tấn công đa giai đoạn trải qua bốn hoặc nhiều giai đoạn, với đầu độc bộ nhớ là lớp bền bỉ.
5.4 Đầu độc công cụ qua MCP — Chuỗi cung ứng
Model Context Protocol (MCP) đã trở thành tiêu chuẩn trên thực tế để kết nối các trợ lý AI với các công cụ và nguồn dữ liệu bên ngoài. Các cuộc tấn công tool poisoning — lần đầu tiên được Invariant Labs công khai tiết lộ vào tháng 4 năm 2025 — nhúng các chỉ thị đối kháng bên trong mô tả và siêu dữ liệu của công cụ mà mô hình tác nhân đọc nhưng người dùng con người không thể dễ dàng kiểm tra. AdapTools (arXiv 2602.20720) đã chứng minh cải thiện 2,13× tỷ lệ thành công tấn công với lựa chọn công cụ tàng hình thích ứng. Log-To-Leak (bài nộp ICLR 2026) cho thấy các tác nhân có thể bị ép buộc gọi các công cụ ghi log độc hại để rò rỉ truy vấn của người dùng, phản hồi công cụ và câu trả lời của tác nhân — mà không làm giảm hiệu suất tác vụ.
5.5 RCE thông qua mã do LLM tạo ra — Viên ngọc trên vương miện
Mô hình chuyển đổi prompt injection thành sự xâm phạm máy chủ. Nhiều CVE năm 2026 tuân theo cùng một hình dạng: tác nhân có một công cụ thực thi mã do LLM tạo ra (Python qua PALChain, CSV Agent, REPL trong sandbox), và sandbox bị thiếu. CVE-2025-68664 thông qua khởi tạo template Jinja2 là trường hợp tổng quát nhất. Nghiên cứu “Zealot” của Unit 42 thuộc Palo Alto (tháng 5 năm 2026) đã chứng minh một hệ thống đa tác nhân thực thi chuỗi tấn công bốn giai đoạn — từ khai thác SSRF ban đầu đến rò rỉ dữ liệu BigQuery — từ một prompt ban đầu duy nhất mà không cần bất kỳ sự can thiệp nào của con người giữa các bước chuyển tiếp.
5.6 Lỗi cascade (OWASP ASI08) — Hệ số nhân
Khi nhiều tác nhân LLM cộng tác, một injection duy nhất trong luồng đầu vào của một tác nhân sẽ lan truyền qua mạng. Mô hình “chain-of-compromise” (Lee & Tiwari 2024) cho thấy các prompt đối kháng lây lan một cách bí mật thông qua việc truyền thông điệp bình thường. Nghiên cứu hackingBuddyGPT cho thấy các tác nhân được điều khiển bởi GPT-4-turbo có thể leo thang đặc quyền trên các hệ thống thử nghiệm 33–83% thời gian thông qua suy luận LLM lặp lại — mà không cần cơ sở kiến thức dựng sẵn về các kỹ thuật leo thang đặc quyền.
6. Ngăn xếp phòng thủ cho AI tác nhân trong production
Phòng thủ AI tác nhân không phải là một biện pháp kiểm soát duy nhất. Nó là một hệ thống phân lớp. OWASP, CSA và Microsoft hội tụ về cùng một mô hình năm lớp.
Lớp 1 — Vá lỗi và vệ sinh SBOM
Điều này không thể thương lượng. Mỗi đội ngũ chạy LangChain trong production phải:
Lớp 2 — Xác thực đầu vào và xác minh nguồn gốc
Lớp 3 — Cô lập công cụ trong sandbox
Lớp 4 — Giám sát hành vi và phát hiện bất thường
Lớp 5 — Con người trong vòng lặp cho các hành động có hậu quả cao
Điểm cộng kỹ thuật phát hiện
7. Điều này có ý nghĩa gì đối với lộ trình của bạn
Nếu bạn đang phát hành AI tác nhân vào năm 2026, ba điều nên thay đổi trong quý này:
Thứ nhất, coi các CVE framework là sự cố production, không phải ticket tồn đọng. Cụm tiết lộ “LangDrained” là một sự kiện kéo dài sáu tuần biến bản cập nhật phụ thuộc thành sự cố bảo mật. MTTR của bạn cho “CVE nghiêm trọng trong framework có CVSS > 9.0” cần được đo bằng giờ, không phải bằng tuần.
Thứ hai, mô hình hóa mối đe dọa cho cấu trúc liên kết tác nhân, không chỉ tác nhân. Ánh xạ mọi tác nhân, mọi công cụ, mọi đường dẫn thông điệp giữa các tác nhân và mọi kho lưu trữ bộ nhớ chia sẻ. Coi mỗi bề mặt là ranh giới tin cậy yêu cầu kiểm soát truy cập rõ ràng. Nghiên cứu LOTA của CSA kết luận rằng “yếu tố bảo vệ chính không phải là cấu trúc liên kết mà là kiểm soát nguồn gốc thông điệp” — nghĩa là câu hỏi đúng không phải là “cấu trúc liên kết có phi tập trung không?” mà là “tôi có thể chứng minh tác nhân nào đã gửi thông điệp này không?”
Thứ ba, đi trước đường cong tuân thủ. MGAF cho AI Tác nhân của PDPC Singapore, các nghĩa vụ rủi ro cao của Đạo luật AI EU (tuân thủ đầy đủ vào ngày 2 tháng 8 năm 2026) và OWASP Agentic AI Top 10 mới đang hội tụ về cùng một bộ yêu cầu kỹ thuật: tự chủ có giới hạn, trách nhiệm giải trình của con người, kiểm soát kỹ thuật và dấu vết kiểm toán. Thiết kế cho những điều này ngay bây giờ rẻ hơn so với cải tạo vào năm 2027.
Kết luận
Các CVE đã công bố đã được vá. Các mô hình kiến trúc khiến chúng trở nên nguy hiểm — tác nhân tin tưởng thông điệp từ tác nhân ngang hàng, tác nhân thực thi mã do LLM tạo ra, trạng thái chia sẻ không có nguồn gốc, mô tả công cụ như bề mặt chỉ thị — không phải là bug. Chúng là thuộc tính của cách LangChain và LangGraph được thiết kế. Phòng thủ AI tác nhân vào năm 2026 không phải là chờ đợi một tường lửa LLM kỳ diệu. Nó là áp dụng cùng một kỹ thuật bảo mật phân lớp đã bảo vệ stack web thập niên 2010 — vá lỗi, xác thực đầu vào, sandbox, giám sát và con người trong vòng lặp — cho bề mặt tấn công tác nhân mới.
Các framework sẽ không biến mất. Các lỗ hổng sẽ tiếp tục xuất hiện. Những đội ngũ xây dựng ngăn xếp phòng thủ đầu tiên sẽ sở hữu thị trường tác nhân production cho phần còn lại của thập kỷ.
Cần đánh giá thực hành về triển khai LangChain hoặc LangGraph của bạn? Liên hệ Evvo Labs — chúng tôi cung cấp các dịch vụ bảo mật AI tác nhân, bao gồm làm cứng framework, thiết kế ranh giới tin cậy đa tác nhân, lập bản đồ bề mặt tấn công MCP và kỹ thuật phát hiện cho indirect prompt injection. PromptDome là khiên bảo vệ thời gian thực của chúng tôi chống lại indirect prompt injection, injection giữa các tác nhân và đầu độc mô tả công cụ — có thể triển khai trước bất kỳ stack LangChain / LangGraph / MCP nào trong vòng chưa đầy một giờ.