LangGraph state — 2026-06-30

Current versions

• langgraph 1.2.7 (June 30, 2026) — https://pypi.org/project/langgraph/
• langgraph-checkpoint-postgres 3.1.0 (May 12, 2026) — https://pypi.org/project/langgraph-checkpoint-postgres/

Releases 2026 — хронологически

• 1.0.10 (Feb 27, 2026) — последний 1.0.x patch
• 1.1.0 (Mar 10, 2026)
• 1.2.0 (May 12, 2026) — крупный feature release:
  • DeltaChannel (beta)
  • Per-node timeouts via TimeoutPolicy
  • Node-level error handlers возвращающие Command
  • Graceful shutdown через RunControl.request_drain()
  • Event streaming API v3 (content-block-centric)
• 1.2.3 (Jun 1, 2026) — потом yanked
• 1.2.4 — backward-compat fix
• 1.2.5-1.2.7 (Jun 12-30, 2026) — фиксы delta channels, subgraph checkpoint namespaces, v3 stream cancellation

Источник: https://docs.langchain.com/oss/python/releases/changelog

Breaking changes / deprecations

• LangGraph 1.0 (Oct 22, 2025) — "no breaking changes" и "full backward compatibility"
• langgraph.prebuilt deprecated — функции переехали в langchain.agents:
  • create_react_agent → langchain.agents.create_agent ← новый recommended entry point
• Конкретный compatibility bug: langgraph-prebuilt 1.0.9 (с langgraph 1.1.5) добавил импорты ExecutionInfo/ServerInfo из langgraph.runtime которых нет в langgraph 1.0.x — ломает pinned installs
• No 2.0 announced за период Jan-Jun 2026

Наш случай: мы не используем langgraph.prebuilt — определяем свои nodes напрямую. Не затронуты.

Postgres Checkpointer — production gotchas

Главные проблемы

1. Unbounded table growth, нет native TTL

   • LangGraph Platform (commercial) предлагает checkpointer.ttl
   • OSS — нужен свой cron DELETE или ETL-to-S3
   • Пример: ~120k conversations/week = ~93 records/conversation = ~56 MB / 18k rows в неделю staging
   • Источник: https://tadeodonegana.com/posts/scaling-langgraph-postgres-checkpointer/ (2026-04-28)

2. Connection-pool sizing rule:

   • workers × pool.max_size < postgres.max_connections × 0.7
   • За несколько replicas — PgBouncer обязателен

3. Don't hold HTTP connections during graph execution

   • Цитата: "single biggest source of production outages" для naive deployments
   • Возвращать thread_id сразу, run graphs async

4. Schema migrations — PostgresSaver.setup() идемпотентен, но teams перенесли создание таблиц в Alembic/CI

Open bugs (на 2026-06-30)

• #8234 (Jun 30) — durability='sync' checkpoint ordering unenforced
• #8116 (Jun 17) — PostgresSaver constructor incompatibility без serde extra
• #7916 (May 27) — psycopg3 crash operator does not exist: text = bytea на fresh threads
• #7714 (May 5) — checkpoint serialization causing ~85% storage bloat и ~37.8% token overhead

Security (Jun 11, 2026 — Check Point Research disclosure)

• CVE-2025-67644 — SQL injection в SQLite checkpointer filter param
• CVE-2026-27022 — SQL injection в Redis checkpointer
• CVE-2026-28277 — unsafe msgpack deserialization → RCE при chain с SQLi

ВАЖНО: Postgres checkpointer НЕ затронут этой disclosure.

Патчи:

• langgraph ≥ 1.0.10
• langgraph-checkpoint-sqlite ≥ 3.0.1
• langgraph-checkpoint-redis ≥ 1.0.2

Источник: https://research.checkpoint.com/2026/from-sqli-to-rce-exploiting-langgraphs-checkpointer/

Нас касается?

Intel-collector: мы НЕ используем checkpointer (наш граф stateless между запусками). Касается только когда дойдём до 15k продукта где будут HITL паузы и resume.

Если решим использовать в 15k:

• Использовать только Postgres (SQLite/Redis уязвимы)
• Сразу заложить TTL/cleanup logic (cron job на DELETE старых rows)
• Connection pooling настроить аккуратно
• Schema migrations через Alembic, не PostgresSaver.setup()
• pinned versions обязательно