Chyba v nástroji DeepSeek Harness – open‑source řešení firmy DeepSeek pro provozování AI kódovacích agentů na stroji vývojáře – umožnila agentovi uzavřenému v sandboxu vypnout jediným příkazem svůj vlastní sandbox. Nástroj spouští příkazy agenta uvnitř sandboxu operačního systému, aby agent pracující s nedůvěryhodnými soubory nemohl zapisovat mimo svůj pracovní prostor. Agent přitom mohl toto omezení odstranit tak, že zavolal vlastní webové rozhraní nástroje na tomtéž stroji — jeho příkazy se pak spouštěly mimo sandbox bez výzvy ke schválení. Fungovalo to na výchozí instalaci až do 27. srpna 2026, kdy DeepSeek nástroj opravil, a k vyvolání volání bylo potřeba text dodaný útočníkem, který agent přečetl.
Zranitelnost je vedena jako CVE‑2026‑82533. Společnost VulnCheck, která identifikátor přidělila, zveřejnila záznam 8. září a chybu ohodnotila 9,4 z 10. Bezpečnostní firma OX Research, jež chybu nahlásila, uvedla, že stačil jediný příkaz shellu, který zavolal lokální rozhraní nástroje a nastavil relaci agenta do režimu danger‑full‑access, čímž vypnul sandbox i schvalovací výzvy. Běžné příkazy schválení nevyžadovaly, to se uplatňovalo jen tehdy, když příkaz žádal širší přístup než měla relace — a toto volání o něj nežádalo, pouze změnilo nastavení relace.
Proč to fungovalo a co nainstalovat
Sandbox pokrýval pouze soubory. Referenční příručka pro zasažené vydání uvádí, že ve výchozím nastavení zůstávají zápisy uvnitř pracovního prostoru a dočasných složek, zatímco „čtení a přístup k síti nejsou omezeny.“ Vlastní rozhraní nástroje tak zůstalo z nitra sandboxu dosažitelné a nástroj shellu agenta navíc sám předával adresu tohoto rozhraní i identifikátor aktuální relace. Rozhraní nemělo žádné ověřování — kontrola, která rozhodovala o přístupu, četla hlavičku Host požadavku a nikdy se nedívala, odkud spojení pochází. Komentář v tomto souboru přiznává, že kontrola „není autentizační vrstva.“ Totéž rozhraní obsluhovalo i požadavek na stažení celého logu relace, takže volající, který se k němu dostal, mohl bez klíče získat všechny uložené konverzace.
Zasažené jsou verze 0.1.1‑rc.2 a starší. Uživatelé by měli nainstalovat verzi 0.1.2‑alpha.2 nebo novější; aktuálním vydáním v registru npm je 0.1.2‑rc.1. Kdo nemůže aktualizovat, měl by webové rozhraní při nepoužívání zastavit a odstranit jakýkoli tunel, proxy nebo přesměrování portu, které jej zpřístupňuje. Oprava dává rozhraní kontrolu identity: nástroj nyní na startovací adrese vypíše jednorázový token, který prohlížeč vymění za podepsanou cookie, a každé volání rozhraní cookie vyžaduje. Co se nemění, je sandbox — čtení a přístup k síti zůstávají neomezené a shell agenta stále dostává adresu rozhraní. Bezpečnostní upozornění projektu ostatně samo uvádí, že software neprošel bezpečnostním auditem a že sandbox a schvalovací výzvy „nezaručují izolaci ani nezabrání škodám.“ Stejný únik přitom dva vývojáři popsali na diskusní desce projektu už 13. a 14. srpna, tedy dříve, než CVE vůbec existovalo.
Zdroj: thehackernews.com
Zdroj: IT SECURITY NETWORK NEWS
