Aug 1, 2026 · Vercel AI SDK Provider
Vercel AI SDK Provider (v3.0.1)
Vercel AI SDK Provider v3.0.1 发布，通过 pnpm.overrides 修复了 brace-expansion 和 js-yaml 的高危和中危依赖漏洞（#6639）。
EVENT STORY
Development
- First ReportVercel AI SDK Provider (v3.0.1)Mem0
- Current AssessmentAI 工具链的供应链安全日益重要，即使是 SDK 的依赖漏洞也可能被利用。此次修复表明开源项目在积极维护安全性，但开发者需关注依赖更新，避免使用过时版本。Agent Pulse · analysis
Vercel AI SDK Provider v3.0.1 于 2026-08-01 发布，主要修复了依赖中的安全漏洞。通过 pnpm.overrides 覆盖了 brace-expansion 和 js-yaml 两个依赖，解决了高危和中危漏洞。该版本由 Mem0 发布，相关 PR 编号为 #6639。
此次修复采用 pnpm.overrides 强制覆盖依赖版本，而非升级直接依赖，这通常用于处理传递依赖中的漏洞。brace-expansion 和 js-yaml 是常见的 JavaScript 库，其漏洞可能影响解析用户输入的功能。开发者应检查自身项目是否受类似传递依赖影响，并考虑使用 overrides 或升级依赖。
AI 工具链的供应链安全日益重要，即使是 SDK 的依赖漏洞也可能被利用。此次修复表明开源项目在积极维护安全性，但开发者需关注依赖更新，避免使用过时版本。
对于使用 Vercel AI SDK 的企业，此修复降低了安全风险，避免因依赖漏洞导致的数据泄露或服务中断。及时更新可提升系统安全性，减少潜在损失。
未来，AI SDK 可能会加强依赖安全审计，并采用更严格的依赖锁定策略。开发者应关注后续版本更新，及时应用安全补丁。