v2.52.0 (2026-09-29)
Pydantic AI 发布 v2.52.0（2026-09-29），修复 web_fetch 中一个中危安全问题 GHSA-v36g-jcw9-x7cw：本地 web_fetch 工具转换攻击者控制的深层嵌套 HTML 时可能消耗过多 CPU 与内存，provider 原生网页抓取不受影响，已在 2.52.0（v2）与 1.107.7（v1）修补。同时 pydantic-ai-harness 迁入该仓库并随每次发布，版本从 0.36.0 跳到 0.52.0；pydantic-clai2 0.52.0 为首个版本，可用 uvx pydantic-clai2 运行。
Development
- First Reportv2.52.0 (2026-09-29)Pydantic AI
- Current AssessmentAgent 框架正把安全公告与运行时抽象放进同一条发布节奏：安全修复按 v1/v2 双线回补，harness 则收拢进主仓库统一发版，减少独立包与主框架的版本漂移。这反映开源 Agent 工具链在进入生产使用后，维护者开始以发布工程和沙箱边界作为竞争点，而非仅比拼模型接入数量。可验证下一信号：其他 Agent 框架是否跟进把工具执行统一到 workspace 抽象，以及是否对本地抓取类工具默认加上资源配额。Agent Pulse · analysis
Pydantic AI 发布 v2.52.0，包含一个安全修复与一次 harness 重组。安全方面修补 GHSA-v36g-jcw9-x7cw（中危）：本地 web_fetch 工具在转换攻击者控制的深层嵌套 HTML 时可能消耗过多 CPU 和内存，provider 原生网页抓取不受影响，v2 线在 2.52.0、v1 线在 1.107.7 修补。工程方面 pydantic-ai-harness 迁入主仓库并随每个 Pydantic AI 版本发布，版本号从 0.36.0 跳到 0.52.0；pydantic-clai2 0.52.0 为其首个发布，可通过 uvx pydantic-clai2 调用。兼容性变更包括 harness 能力经 ctx.workspace 在本地或沙箱中运行、ModalSandbox 改为 Modal workspace、AnthropicModel 在 Claude Sonnet 4.5 及以后默认 max_tokens 由 4096 提升到 16384。
该公告把两类风险摆在一起：一是把不可信 HTML 交给本地解析器时的资源耗尽面，二是 harness 与沙箱执行路径的重构。前者说明 web_fetch 这类工具需要输入规模与嵌套深度上限，而非仅依赖 provider 侧抓取；后者意味着 Coder、FileSystem、Shell 等能力从绑定具体后端改为经 ctx.workspace 抽象，Modal 侧也由 ModalSandboxBackend 取代 ModalSandboxSession。可验证下一信号：官方 advisory 是否给出嵌套深度阈值或补丁 diff，以及 harness 迁移后是否出现新的沙箱逃逸或资源限制类 issue。
Agent 框架正把安全公告与运行时抽象放进同一条发布节奏：安全修复按 v1/v2 双线回补，harness 则收拢进主仓库统一发版，减少独立包与主框架的版本漂移。这反映开源 Agent 工具链在进入生产使用后，维护者开始以发布工程和沙箱边界作为竞争点，而非仅比拼模型接入数量。可验证下一信号：其他 Agent 框架是否跟进把工具执行统一到 workspace 抽象，以及是否对本地抓取类工具默认加上资源配额。
对使用 Pydantic AI 构建 Agent 的团队，本次升级同时涉及安全补丁与执行层重构：需要评估 web_fetch 是否暴露于不可信网页输入，并检查依赖 ModalSandboxSession 的代码是否需迁移到 ModalSandboxBackend。harness 并入主仓库降低了版本对齐成本，但 0.36.0 到 0.52.0 的跳变提示需重新验证沙箱内 Coder、Shell、FileSystem 的行为。可验证下一信号：项目是否在后续 release 中提供迁移说明与受影响版本清单。
若 harness 与 clai2 持续随主版本发布，Pydantic AI 的兼容性节奏会更接近单一产品而非松散包集合，升级成本与破坏性变更将更集中地出现在 release note 中。安全侧，本地 HTML 转换的资源耗尽问题可能促使同类工具默认限制嵌套深度或改为隔离进程。可验证下一信号：后续版本是否在 web_fetch 中引入显式深度/大小限制参数，以及 harness 是否发布独立的迁移指南。