Pydantic AI 本地网页抓取工具被披露嵌套 HTML 导致资源耗用过高漏洞

GitHub 安全公告披露 Pydantic AI 本地网页抓取工具的漏洞：在转换攻击者可控的 HTML 时会出现过高的 CPU 和内存占用。嵌套块级元素会让 HTML 转 Markdown 的过程逐层重复处理累积文本，并使中间输出大幅膨胀；响应体大小限制只约束下载字节数，返回内容限制则在转换之后才生效。当前版本把转换放在工作线程中执行，仍可能消耗大量资源并拖慢同进程内的其他任务，更早版本则在事件循环上执行转换。只有当智能体抓取受影响页面时才会触发，使用模型厂商原生网页抓取的功能不受影响。缓解方式是升级到已修复的 pydantic-ai 或 pydantic-ai-slim 版本，无法升级时应避免用本地网页抓取处理攻击者可控的 HTML。