LangChain 拥有一个庞大的生态系统，集成了各种外部资源，如本地和远程文件系统、API 和数据库。这些集成使开发者能够创建功能多样的应用程序，将大语言模型（LLM）的强大能力与访问、交互和操作外部资源的能力相结合。文档索引
在以下地址获取完整的文档索引：https://docs.langchain.org.cn/llms.txt
在进一步探索之前，请使用此文件发现所有可用页面。
最佳实践
在构建此类应用程序时，开发者应谨记遵循良好的安全实践：- 限制权限：根据应用程序的需求精确限定权限范围。授予宽泛或过度的权限可能会引入重大安全漏洞。为避免此类漏洞，请考虑使用只读凭据、禁止访问敏感资源、使用沙盒技术（如在容器内运行）、指定代理配置以控制外部请求等，具体取决于您的应用场景。
- 预见潜在滥用：人类会犯错，大语言模型（LLM）亦然。请务必假设任何系统访问权限或凭据都可能以其被允许的任何方式被使用。例如，如果某组数据库凭据允许删除数据，最稳妥的做法是假设任何能够使用这些凭据的 LLM 实际上都可能会删除数据。
- 深度防御：没有完美的防御技术。微调和良好的链式设计可以降低但不能消除 LLM 出错的可能性。最好采用多种分层安全方法，而不是依赖单一的防御层来确保安全。例如：同时使用只读权限和沙盒技术，以确保 LLM 只能访问其明确需要使用的数据。
- 数据损坏或丢失。
- 未经授权访问机密信息。
- 关键资源的性能受损或可用性降低。
- 用户可能会要求具有文件系统访问权限的代理删除不应删除的文件，或读取包含敏感信息的文件内容。为缓解此风险，请将代理限制为仅使用特定目录，并只允许其读取或写入安全的文件。考虑通过在容器中运行来进一步隔离代理。
- 用户可能会要求具有外部 API 写入权限的代理向 API 写入恶意数据，或从 API 删除数据。为缓解此风险，请给予代理只读 API 密钥，或将其限制为仅使用已具备此类滥用抵御能力的端点。
- 用户可能会要求具有数据库访问权限的代理删除表或修改架构。为缓解此风险，请将凭据的作用域限制为代理仅需访问的表，并考虑使用只读凭据。
报告开源漏洞
请使用以下流程报告与 LangChain 开源项目相关的安全漏洞：- 提交安全公告：在存在漏洞的 GitHub 仓库的“安全”（Security）选项卡下提交。
- 发送电子邮件：发送至
security@langchain.dev，告知我们您已提交安全问题，并说明是在哪个仓库中提交的。
漏洞赏金资格
我们欢迎针对所有 LangChain 库提交安全漏洞报告。但是，我们仅针对以下软件包中的漏洞提供临时漏洞赏金：- 由 LangChain 团队拥有和维护的核心库：
langchain-core,langchain(v1),langgraph以及相关的 checkpointer 包（或其 JavaScript 等效库）。 - 由 LangChain 团队维护的常用集成（例如
langchain-openai,langchain-anthropic等，或其 JavaScript 等效库）。
langchain-community，由于其社区驱动的性质，它不在漏洞赏金计划范围内，但我们仍会接受并处理相关的报告。不在范围内的目标
以下内容不在安全漏洞报告的范围内：- langchain-experimental：此仓库用于实验性代码，不在安全报告范围之内（参见 包警告）。
- 示例和示例应用程序：示例代码和演示应用程序不在安全报告范围之内。
- 已标注安全公告的代码：这将根据具体情况决定，但很可能不在范围内，因为这些代码已经记录了开发者应遵循的指导原则，以确保其应用程序的安全。
- LangSmith 相关仓库或 API：参见下方的 报告 LangSmith 漏洞。
报告 LangSmith 漏洞
请通过电子邮件发送至security@langchain.dev 报告与 LangSmith 相关的安全漏洞。
- LangSmith 网站：https://smith.langchain.com
- SDK 客户端：https://github.com/langchain-ai/langsmith-sdk
其他安全问题
如有任何其他安全顾虑，请通过security@langchain.dev 联系我们。
将这些文档连接到 Claude、VSCode 等，以获得实时答案。