LangChain JS 1.6.5：新增模型路由与工具风险拦截，要求 Zod 4.6.6+

LangChain JS 1.6.5 加入modelRouterMiddleware和autoModeMiddleware，分别处理模型选择与指定工具调用的风险判断，同时提高安装依赖的Zod最低版本至4.6.6。现有Zod v3 schema仍可通过捆绑的zod/v3入口使用。

公告时间：2026年11月12日 06:02:37（北京时间）。

来源：官方发布说明。

LangChain JS 1.6.5 更新概览

LangChain JS 1.6.5 于2026年11月12日06:02:37（北京时间）发布。虽然发行说明将其列在 Patch Changes 下，内容同时包含两项中间件能力和一项Zod依赖安全约束。它不是模型权重更新，影响的是JavaScript智能体的编排和依赖环境。

modelRouterMiddleware 如何选择模型

官方描述为从决策模型给出的 Choice 答案中，为每次智能体运行选择模型。接入前需要明确候选模型、决策输出和运行记录，否则发生结果变化时难以判断路由是否按预期工作。该功能本身不等于保证选择最便宜或最准确模型，成本和效果仍取决于配置与实际任务。

依据：官方发布记录

autoModeMiddleware 的拦截边界

autoModeMiddleware 会阻止被列入范围、且经决策模型判断存在风险的工具调用。这里有两个条件：工具必须在相应列表中，决策模型也需要作出风险判断。不能将它描述为对所有工具自动提供完整安全保证；执行权限、凭据范围、网络隔离和高影响操作确认仍应按应用需要配置。

Zod 依赖为何要求4.6.6及以上

发布说明要求已安装依赖使用Zod 4.6.6或更新版本，以排除 GHSA-mrhx-c7xc-m3w5 影响的版本。这是明确可核验的安全依赖变化，不宜在未核验公告细节时自行补充漏洞严重程度或利用方式。团队应检查锁文件和实际依赖树，避免只修改顶层声明而部署仍使用旧锁定结果。

Zod v3 schema 是否必须全部重写

官方同时说明，Zod v3 schema 通过捆绑的 zod/v3 入口继续受支持。因此，安装依赖的最低版本提高，并不等于所有v3 schema立即失效。迁移时应分别检查包版本、导入入口和运行时验证结果；已有测试覆盖的schema可以用于回归，而不是无差别重写。

建议的升级验收顺序

先更新项目锁文件并确认实际Zod版本，再运行原有schema校验和工具调用测试，最后单独启用新中间件进行对照。对被拦截工具要记录原因并检查应用是否能正确返回结果，避免把拦截误当普通执行失败无限重试。本文只解释已发布变化及验证方法，不声称完成真实模型性能测试。

依据：官方发布记录

常见问题

1.6.5会自动保护所有工具吗？

不会，autoModeMiddleware有列入范围和决策判断条件。

Zod v3 schema 已经不支持了吗？

仍支持，官方指定捆绑的zod/v3入口。