Uma falha no DeepSeek Harness, ferramenta de código aberto da DeepSeek para executar agentes de codificação de IA na máquina do desenvolvedor, permitia que um agente em sandbox desativasse o próprio sandbox com um único comando.
A ferramenta executa os comandos de um agente dentro de um sandbox do sistema operacional, para que um agente que trabalhe com arquivos não confiáveis não consiga gravar fora do seu espaço de trabalho. O agente poderia remover esse limite acessando a própria interface web da ferramenta na mesma máquina, e seus comandos então seriam executados fora do sandbox sem uma solicitação de aprovação.
O problema funcionava em uma instalação padrão até que a DeepSeek corrigiu a ferramenta em 27 de agosto, e exigia um texto fornecido pelo atacante que o agente lesse para ser induzido a fazer a chamada.
A falha é rastreada como CVE-2026-82533 (Vulnerabilidades e Exposições Comuns). A VulnCheck, que atribuiu o identificador, publicou o registro em 8 de setembro e classificou a falha com nota 9,4 de 10.
A OX Research, a empresa de segurança que relatou a falha, disse que um único comando de shell era suficiente. O comando invocava a interface local da ferramenta e configurava a sessão do agente para um modo chamado danger-full-access, que desativa o sandbox e interrompe as solicitações de aprovação.
Comandos comuns não precisavam de aprovação para começar. A aprovação era aplicada apenas quando um comando solicitava acesso mais amplo do que a sessão já tinha, e essa chamada não solicitava esse acesso. Ela alterava a configuração da sessão.
A OX disse que verificou que o sandbox estava funcionando antes do escape. Ela executou duas sessões com as mesmas configurações padrão e deu a ambas o mesmo comando. A sessão que tinha feito a chamada gravou em uma pasta fora do seu espaço de trabalho, e a outra foi bloqueada.
O sandbox cobre apenas arquivos. A referência de linha de comando da versão afetada diz que, na configuração padrão, as gravações ficam dentro do espaço de trabalho e das pastas temporárias, enquanto "leituras e acesso à rede não são confinados".
Isso deixava a própria interface da ferramenta acessível a partir de dentro do sandbox. A ferramenta também fornece ao shell do agente o endereço dessa interface e o identificador da sessão atual, de modo que o agente não precisa procurá-los.
A interface não tinha autenticação. Na versão afetada, a verificação que determinava se uma requisição podia alcançá-la lia o cabeçalho Host da requisição e nunca verificava de onde a conexão se originava. Um comentário nesse arquivo diz que a verificação "não é uma camada de autenticação".
Essa verificação é o que o registro do CVE descreve. Como ela confiava em um cabeçalho que o cliente fornece, uma máquina externa poderia se passar por local e controlar o agente. A linha de comando da ferramenta se recusava a escutar em todas as interfaces de rede, de modo que acessá-la de fora exigia que o usuário tivesse encaminhado a porta ou feito proxy por um túnel, um encaminhamento SSH (Secure Shell, protocolo de acesso remoto seguro) ou um editor.
A mesma interface atendia a uma requisição para baixar todo o log de uma sessão. O aviso da VulnCheck afirma que um autor de chamada que alcançasse a interface poderia recuperar todas as conversas armazenadas sem uma chave.
Versões Afetadas e o que Instalar
As versões 0.1.1-rc.2 e anteriores são afetadas. O registro indica a versão 0.1.2-alpha.1 como a versão corrigida, mas essa versão nunca foi publicada no registro do npm (Node Package Manager, gerenciador de pacotes do Node.js), que é para onde as próprias instruções do projeto enviam os usuários.
O The Hacker News consultou o registro do npm em 9 de setembro e descobriu que a primeira versão publicada com a mudança de autenticação é a 0.1.2-alpha.2, três dias depois que a correção foi enviada para o GitHub.
- Instale a versão 0.1.2-alpha.2 ou posterior. A versão atual no registro é 0.1.2-rc.1.
- Se você instalou por meio de um aplicativo de desktop de terceiros, verifique qual versão do harness ele distribui.
- Se não puder atualizar, pare a interface web quando não estiver usando e remova qualquer túnel, proxy ou encaminhamento de porta que a alcance.
Nenhuma fonte consultada para este artigo oferece uma maneira de impedir o escape de dentro do sandbox em uma instalação local padrão enquanto a ferramenta está em execução. O relatório de 13 de agosto diz que limitar o endereço no qual a ferramenta escuta não ajuda, porque o agente já está na mesma máquina.
A correção dá à interface uma verificação de identidade. A ferramenta agora imprime um token de uso único em seu endereço de inicialização; o navegador troca esse token por um cookie assinado, e toda chamada à interface exige o cookie.
O que a correção não altera é o sandbox. Na versão 0.1.2-rc.1, a mesma referência ainda diz que leituras e acesso à rede não são confinados, e o shell do agente ainda recebe o endereço da interface. Nenhuma fonte aborda se um agente em execução dentro do seu espaço de trabalho ainda pode obter uma sessão válida sob o novo esquema.
Aplicativos de desktop de terceiros distribuem sua própria cópia do harness, e qual cópia eles distribuem é escolha do mantenedor do wrapper. Um build para Windows fixou a versão 0.1.1-rc.2 no fim de agosto e migrou para a 0.1.3-alpha.1, que contém a correção, em 6 de setembro. Qualquer pessoa que tenha instalado o harness por meio de um wrapper deve verificar qual versão ele distribui.
Um harness de agente de codificação vale a pena ser atacado porque detém um shell. O DeepSeek Harness executa os comandos de um agente sob a conta que o iniciou.
O próprio aviso de segurança do projeto afirma que o software não passou por uma auditoria de segurança e que o sandbox e as solicitações de aprovação "não garantem isolamento nem impedem danos". Ele diz aos usuários que não confiem na ferramenta como seu único controle de segurança para trabalhos não confiáveis.
O repositório tinha mais de 216.000 estrelas em 9 de setembro, uma contagem de contas que o marcaram como favorito, e não de instalações.
Pesquisadores encontraram repetidamente agentes de codificação escapando de seus sandboxes este ano, incluindo um conjunto de falhas em que a própria configuração de um repositório fazia com que os agentes executassem código de atacante fora de seus sandboxes.
Relatos da Comunidade Descreveram o Mesmo Escape em Agosto
Dois desenvolvedores descreveram o mesmo escape no próprio fórum de discussão da DeepSeek antes que o CVE existisse. Em 13 de agosto, um publicou um relatório mostrando um processo ainda mantido pelo sandbox alcançando a interface local e, em seguida, alternando a sessão para danger-full-access, com saída de teste.
Em 14 de agosto, outro publicou um relatório sobre a mesma interface, listando as requisições que ela aceitava sem nenhuma credencial.
Esse segundo relatório também observou que o projeto não tinha arquivo de política de segurança nem uma forma privada de relatar uma falha. O projeto ainda não tem um arquivo de política de segurança.
A OX Research relatou a falha à VulnCheck em 24 de agosto, segundo sua própria linha do tempo, e a VulnCheck credita Nir Zadok e Moshe Siman Tov Bustan. A publicação da OX não menciona os relatórios anteriores.
O The Hacker News consultou a lista de avisos do repositório em 9 de setembro e não encontrou nenhum aviso de segurança publicado. A versão que continha a correção a lista entre mudanças rotineiras, como remover um transporte antigo e exigir "autenticação por token de uso único para acesso à rede", sem nenhum aviso de segurança e sem menção ao CVE.
