Wprowadzenie do problemu / definicja
DeepSeek Harness to otwartoźródłowe środowisko do uruchamiania agentów kodujących AI na stacji roboczej dewelopera. Jego celem jest ograniczanie skutków wykonywania poleceń generowanych przez model poprzez zastosowanie sandboxa systemowego. Ujawniona podatność pokazała jednak, że agent działający w takim środowisku mógł samodzielnie doprowadzić do wyłączenia części zabezpieczeń.
W praktyce oznaczało to możliwość przełączenia sesji w tryb pełnego dostępu bez oczekiwanego dodatkowego zatwierdzenia przez użytkownika. To istotny problem, ponieważ narzędzia tego typu często operują na kodzie źródłowym, plikach projektowych i lokalnych sekretach dostępnych na komputerze dewelopera.
W skrócie
Podatność oznaczona jako CVE-2026-82533 dotyczyła DeepSeek Harness w wersji 0.1.1-rc.2 i starszych. Agent uruchomiony w ograniczonym środowisku mógł wywołać lokalny interfejs webowy aplikacji i zmienić tryb sesji na danger-full-access, co skutecznie wyłączało sandbox plików oraz monity o akceptację działań.
- problem dotyczył domyślnej instalacji podatnych wersji,
- atak wymagał skłonienia agenta do wykonania odpowiedniego polecenia,
- skutkiem była eskalacja możliwości agenta w ramach tej samej sesji,
- producent usunął problem w nowszych wydaniach.
Kontekst / historia
DeepSeek Harness rozwijany jest jako środowisko uruchomieniowe dla agentów AI wykonujących operacje na plikach, w powłoce i w sieci. Popularność takich narzędzi rośnie, ponieważ automatyzują one analizę kodu, modyfikacje projektów oraz wykonywanie poleceń systemowych. Jednocześnie ich model bezpieczeństwa zwykle opiera się na założeniu, że ograniczenia środowiska wykonawczego wystarczą do kontrolowania ryzyka.
W tym przypadku problem nie wynikał z klasycznego błędu w samym silniku sandboxa, lecz z architektury aplikacji. Lokalny interfejs sterujący był osiągalny z tego samego hosta, na którym działał agent. To oznaczało, że granica pomiędzy agentem z ograniczonymi uprawnieniami a mechanizmem zdolnym do zmiany polityki sesji nie była dostatecznie szczelna.
Analiza techniczna
Sedno luki polegało na relacji między sandboxem plików a lokalnym interfejsem administracyjnym. DeepSeek Harness ograniczał skutki zapisu do systemu plików, ale nie zapewniał pełnej izolacji sieciowej. Agent, który mógł wykonywać standardowe polecenia shellowe, był więc w stanie wysłać żądanie HTTP do lokalnego interfejsu działającego na tym samym komputerze.
Następnie możliwa była zmiana ustawienia bieżącej sesji na danger-full-access. Taka operacja nie była traktowana jak klasyczne wykonanie uprzywilejowanego polecenia, lecz jako modyfikacja stanu sesji. W efekcie nie pojawiał się oczekiwany prompt zatwierdzający, a agent uzyskiwał możliwość działania poza dotychczasowymi ograniczeniami.
Kluczowym błędem projektowym był również niewystarczający mechanizm kontroli dostępu do lokalnego interfejsu. W podatnych wydaniach opierał się on na sprawdzaniu nagłówka Host, który może zostać ustawiony przez klienta HTTP i nie powinien pełnić funkcji wiarygodnego mechanizmu autoryzacyjnego. To otworzyło drogę do nieautoryzowanych zmian parametrów sesji.
Dodatkowym problemem był zakres funkcji dostępnych przez interfejs. Oprócz zmiany trybu pracy sesji możliwy był także dostęp do logów i zapisanych rozmów. Oznacza to, że skutki nadużycia mogły wykraczać poza obejście sandboxa plików i obejmować również naruszenie poufności danych przetwarzanych przez agenta.
Poprawka wdrożona przez twórców dodała jednorazowy token oraz sesyjne uwierzytelnienie z użyciem podpisanego ciasteczka. Ogranicza to możliwość nieautoryzowanego wywoływania lokalnego interfejsu, ale nie zmienia faktu, że sama architektura takich narzędzi wymaga stosowania wielu warstw ochrony.
Konsekwencje / ryzyko
Najpoważniejszym skutkiem podatności była możliwość samodzielnego rozszerzenia uprawnień przez agenta AI. W środowisku deweloperskim może to prowadzić do wielu kategorii incydentów bezpieczeństwa.
- naruszenie integralności plików poprzez modyfikację danych poza katalogiem roboczym,
- usunięcie lub nadpisanie istotnych plików projektowych i konfiguracyjnych,
- ujawnienie logów, promptów, fragmentów kodu i innych danych przetwarzanych przez narzędzie,
- zwiększenie ryzyka przejęcia sekretów, kluczy API i tokenów obecnych na stacji roboczej,
- podważenie zaufania do modelu bezpieczeństwa agentów kodujących.
Ryzyko rośnie szczególnie wtedy, gdy lokalny interfejs zostaje wystawiony szerzej przez tunel, reverse proxy lub przekierowanie portów. W takiej sytuacji potencjalna powierzchnia ataku może wyjść poza pojedynczy host i objąć kolejne systemy lub użytkowników.
Rekomendacje
Najważniejszym krokiem jest aktualizacja do wersji zawierającej poprawkę, co najmniej 0.1.2-alpha.2 lub nowszej, a najlepiej do bieżącego bezpiecznego wydania dostępnego w oficjalnym kanale dystrybucji. Organizacje korzystające z zewnętrznych wrapperów lub aplikacji desktopowych powinny dodatkowo sprawdzić, jaka wersja DeepSeek Harness jest faktycznie dostarczana użytkownikom.
- ograniczyć lub wyłączyć lokalny interfejs webowy, jeśli nie jest niezbędny,
- usunąć tunele, proxy i przekierowania portów wystawiające interfejs poza host,
- uruchamiać agentów na odseparowanych kontach systemowych z minimalnymi uprawnieniami,
- nie przechowywać w środowisku agenta wrażliwych sekretów i kluczy produkcyjnych,
- stosować dodatkową izolację na poziomie kontenera lub maszyny wirtualnej,
- monitorować modyfikacje plików poza workspace oraz nietypowe połączenia do localhost,
- traktować dane wejściowe i prompt injection jako potencjalnie złośliwe.
W środowiskach firmowych warto również prowadzić inwentaryzację narzędzi agentowych i regularne testy bezpieczeństwa skoncentrowane na lokalnych interfejsach zarządzających, autoryzacji oraz granicach izolacji procesów.
Podsumowanie
Przypadek DeepSeek Harness pokazuje, że bezpieczeństwo agentów AI nie zależy wyłącznie od sandboxa, ale od całej architektury sesji, interfejsów sterujących i sposobu kontroli dostępu. Jeśli agent może komunikować się z lokalnym komponentem zdolnym do zmiany własnych uprawnień, nawet częściowo poprawna izolacja plików może okazać się niewystarczająca.
Dla zespołów bezpieczeństwa i deweloperów to kolejny sygnał, że narzędzia agentowe powinny być wdrażane zgodnie z zasadą defense in depth. Aktualizacje, silne uwierzytelnienie, minimalizacja uprawnień oraz separacja środowisk pozostają kluczowe, aby lokalna luka nie przerodziła się w realny incydent obejmujący dane, kod i system użytkownika.
Źródła
- The Hacker News — https://thehackernews.com/2026/09/deepseek-harness-flaw-let-ai-agents.html
- DeepSeek Harness Sandbox Documentation — https://github.com/deepseek-ai/deepseek-harness/blob/master/docs/subsystems/sandbox.md
- DeepSeek Harness SAFETY.md — https://github.com/deepseek-ai/deepseek-harness/blob/master/SAFETY.md
- DeepSeek Harness CLI Reference — https://github.laiyagushi.com/deepseek-ai/deepseek-harness/blob/master/apps/cli/reference/README.md
- DeepSeek Harness Project Page — https://www.deepseek.com/harness/en/