DeepSeek Harness CVE-2026-82533: סוכן בארגז חול משבית את ארגז החול של עצמו בפקודה אחת
- OrcaחדשOrcaCyber: GLM 5.3 Flash Abliterated2026-10-2795 tok/s
- OrcaחדשOrcaCyber: Qwen3.8 Flash Next Abliterated2026-10-26$0.80 / $1.60 לכל 1M טוקנים · 252 tok/s
- OrcaחדשOrcaCyber: MiMo V2.6 Flash Abliterated2026-10-26$0.80 / $1.60 לכל 1M טוקנים · 86 tok/s
- MoonshotחדשMoonshotAI: Kimi K3.1 Pro2026-10-2455אינטליגנציה
- OrcaחדשOrcaCyber: DeepSeek V4.1 Flash Abliterated2026-10-23$0.80 / $1.60 לכל 1M טוקנים · 108 tok/s
- minimaxחדשMiniMax: M3.1 Flash2026-10-1943אינטליגנציה
- OrcaחדשOrca: OrcaCyber Ultra 1.02026-10-17$5.00 / $10.00 לכל 1M טוקנים · 50 tok/s
- deepseekחדשDeepSeek: DeepSeek V4.1 Flash 10172026-10-1745אינטליגנציה
- DeepSeekחדשDeepSeek: DeepSeek V4.1 Flash2026-10-1740אינטליגנציה
- OrcaOrca: OrcaCyber Zero 1.52026-10-10$3.00 / $7.50 לכל 1M טוקנים · 114 tok/s
- openaiOpenAI: GPT-6.1 Sol2026-09-2952אינטליגנציה
- anthropicAnthropic: Claude Sonnet 5.52026-09-2856אינטליגנציה
- typesafeTypeSafe: Jev 1.132026-09-24$0.04 / $0.00 לכל 1M טוקנים · 120 tok/s
- OpenAIOpenAI: GPT-6 Luna2026-09-2238אינטליגנציה
- OpenAIOpenAI: GPT-6 Sol2026-09-2248אינטליגנציה
- AnthropicAnthropic: Claude Opus 5.52026-09-2258אינטליגנציה
- xiaomiXiaomi: MiMo-V2.6-Flash2026-09-2138אינטליגנציה
- xiaomiXiaomi: MiMo-V2.6-Pro2026-09-2146אינטליגנציה
- xAIGrok 4.72026-09-2146אינטליגנציה
- OrcaOrca: OrcaCyber Zero 1.02026-09-17$3.00 / $7.50 לכל 1M טוקנים · 198 tok/s
VulnCheck פרסמה את CVE-2026-82533 ב-8 בספטמבר 2026: עקיפת אימות קריטית שאפשרה לסוכן קידוד בינה מלאכותית לכבות את ארגז החול של עצמו בפקודת shell אחת. התוכנה היא DeepSeek Harness, סביבת ההרצה המקומית בקוד פתוח של DeepSeek לסוכני קידוד, שלפי Cloud Security Alliance צברה כ-215,000 כוכבי GitHub בתוך שבועות; כל הגרסאות שלפני 0.1.2-alpha.1 מושפעות. היא קבעה אם הקורא היה מקומי לפי כותרת ה-Host של הקורא עצמו, כך שבקשה יכלה לטעון שהיא מגיעה מ-loopback. מכיוון שארגז החול שלה הגביל כתיבות לקבצים אך לא תקשורת loopback, סוכן שנמצא תחת הגבלת ארגז החול יכול היה לפנות ל-API הבקרה הלא מאומת של ה-harness בפורט 3080 ולהעביר את הסשן שלו ל-danger-full-access כשהאישורים כבויים. VulnCheck נותנת לו ציון 9.4, קריטי; לא נטען לניצול בשטח. הרשומה היא ערך אחד במערך נתונים ציבורי של תקריות AI; כמו כן, the Orca AI Incident Archive מכיל את מכלול הרשומות, עם תאריכים, דרגות חומרה ומקורות לכל ערך.
הבדיקה ששאלה את הבקשה מהי
הרכיב הפגיע הוא ה-API המקומי לשליטה בסוכן של ה-harness, שירות ה-HTTP הקטן שממשק הווב ושורת הפקודה משתמשים בו כדי לתפעל הפעלה פעילה. לפי הערת המחקר של Cloud Security Alliance מ-10 בספטמבר 2026, שמסתמכת על הדיווח של OX Security, החברה שמצאה את הפגם, השירות האזין כברירת מחדל ב-127.0.0.1 בפורט 3080 וקיבל את החלטת האמון שלו בפונקציה שההערה מכנה isTrustedApiRequest. הפונקציה קראה את כותרת ה-Host של HTTP והעניקה גישה כאשר הערך תאם שם loopback כגון localhost או 127.0.0.1. כותרת Host היא מטא-נתונים שהלקוח כותב; היא אינה אומרת דבר על מקור חיבור ה-TCP. The Hacker News, בציטוטו את המקור הפגיע ב-9 בספטמבר 2026, מדווח שהבדיקה מעולם לא בחנה את מקור החיבור ושהודעה באותו קובץ אומרת שהבדיקה "is not an auth layer."
זה כל CWE-807, הסתמכות על קלטים לא מהימנים בהחלטת אבטחה, וזה מה שהרשומה שפרסמה VulnCheck מתארת: כותרת Host מסוג loopback שסופקה על ידי הלקוח מתקבלת במקום אימות מקור החיבור ה-TCP בפועל.
מה שהפך בדיקה לקויה למסלול בריחה היה העובדה שההארנס מסר לסוכן את המפתחות של עצמו. Hacker News מדווח כי ההארנס מעביר למעטפת של הסוכן את כתובת ממשק הבקרה ואת המזהה של הסשן הנוכחי, כך שפקודה אינה צריכה לגלות אף אחד מהם. הארגז החול, לעומת זאת, כיסה ערוץ אחד ולא את האחר: מדריך שורת הפקודה של הגרסה המושפעת אומר שבהגדרת ברירת המחדל כתיבות נשארות בתוך סביבת העבודה ותיקיות זמניות, בעוד שקריאות וגישה לרשת אינן מוגבלות.
למה בקשות האישור לא עצרו את זה
ל-harness אכן היו בקשות אישור, והן לא ממש עוקפו אלא היו בלתי רלוונטיות. The Hacker News מדווח שבמהדורה המושפעת אישור התבקש רק כאשר פקודה ביקשה גישה רחבה יותר מזו שהסשן כבר החזיק. קריאת ההסלמה לא ביקשה דבר כזה; היא שינתה את הגדרת הסשן. סוכן שהריץ אותה עבר למצב ש-OX Security מכנה danger-full-access, עם בקשות אישור שהוגדרו ל-never, והמשיך לפעול כמשתמש שהפעיל את ה-harness, מחוץ לארגז החול לחלוטין.
הראיה של OX Security לגבי הגבול הייתה זוג בקרה. The Hacker News מדווח כי החברה הריצה שני מושבים מאותן הגדרות ברירת מחדל זהות, ונתנה לשניהם את אותה פקודה: המושב שביצע את הקריאה כתב לתיקייה מחוץ לסביבת העבודה שלו, והשני נחסם.
הנתיב השני, ותנאי המוקדם שהיה דרוש לו
אותה בדיקה חסרה חשפה את ה-harness בפני פונים שמעולם לא היו בתוך ארגז חול כלל, אלא רק בתנאי שתצורת ברירת המחדל לא יצרה. שורת הפקודה סירבה לקשור את ה-API לכל ממשקי הרשת, כך שהפורט היה נגיש ממקום אחר רק אם משתמש כבר העביר אותו קדימה — דרך מנהרה, פרוקסי הפוך, העברת SSH, או תכונת העברת הפורטים של עורך, לפי The Hacker News; הערה של Cloud Security Alliance מפרטת את אותה קבוצה. במקרים שבהם התקיים התנאי המוקדם הזה, מציין הייעוץ של VulnCheck, פונה ללא אישורים יכול היה ליצור סשנים, להריץ פקודות שרירותיות ולחלץ תמלילי שיחה שמורים. The Hacker News מוסיף שאותו ממשק שירת בקשה אשר מורידה את יומן הסשן כולו.
המסלול המבודד (sandboxed) דורש תנאי מוקדם אחר: טקסט שהסוכן יקרא ויפעל לפיו. ההערה של Cloud Security Alliance מתארת סוכן מוגבל שמטפל בהנחיה שסופקה על ידי תוקף ומוטמעת בהערת קוד, בקובץ README או בטקסט של issue. אף אחד מהמסלולים אינו דורש מפתח גנוב, וההערה מציינת שהמסלול המרוחק אינו מצריך כלל אינטראקציה עם המודל ברגע שהפורט נחשף.
האוכלוסייה החשופה היא אפוא כל מי שהריץ את ה-harness עם ברירות המחדל בגרסה 0.1.1-rc.2 או קודמת לה — קבוצה שמספר הכוכבים רק רומז על גודלה. Hacker News מנתה יותר מ-216,000 כוכבים ב-9 בספטמבר 2026 והזהירה שכוכב הוא סימנייה ולא התקנה.
מה מבוסס, ומה לא
נקבע, מתוך רשומת ה-CVE עצמה: VulnCheck היא רשות המספור, היא הקצתה את המזהה ב-29 באוגוסט 2026 ופרסמה את הרשומה ב-8 בספטמבר בשעה 16:59 UTC; החולשה היא CWE-807; הטווח המושפע הוא כל גרסה לפני 0.1.2-alpha.1; והקרדיט ניתן ל-Nir Zadok ול-Moshe Siman Tov Bustan. שני הציונים שהרשומה נושאת, 9.4 לפי CVSS 4.0 ו-9.6 לפי CVSS 3.1, מגיעים מ-VulnCheck ולא מגורם מדרג שני ובלתי תלוי — NVD מפרטת את שני המדדים עם VulnCheck כמקור שלהם — כך שהם הערכה אחת המובעת בשתי מסגרות, ולא שתי הערכות שמסכימות זו עם זו.
על פי המאגר: קומיט התיקון 3e24087, שכותרתו "fix(web): authenticate the browser Host API," מתוארך ל-24 באוגוסט 2026, והוא מוסיף מודול אימות דפדפן יחד עם 210 שורות של בדיקות מקצה לקצה לזרימה החדשה, לפי GitHub API. הגרסה שתויגה dsh-v0.1.2-alpha.1 הגיעה לאחר מכן ב-27 באוגוסט בשעה 17:06 UTC.
לא נקבע: שימוש. לא רשומת ה-CVE, לא ההתראה של VulnCheck ולא הערות השחרור של DeepSeek מתארים ניצול בעולם האמיתי, ו-NVD רושמת את בגרות הניצול כלא מוגדרת. מודל ה-EPSS של FIRST העניק לפגיעות הסתברות של 1.24% לניצול ב-30 הימים שלאחר מכן, באחוזון ה-68.9, בפיד שנכון ל-27 באוקטובר 2026. הארכיון אינו רושם נזק בעולם האמיתי עבור רשומה זו ומדרג אותה ברמת ביטחון A, מתועדת היטב, כאשר מקורות ראשוניים מסכימים.
התאריכים, כולל שני דוחות שהגיעו ראשונים
שני מפתחים הגיעו לאותה מסקנה עוד לפני שהיה CVE שאליו אפשר היה להצביע. The Hacker News מדווח על פוסט בלוח הדיונים של הפרויקט עצמו ב-13 באוגוסט 2026, שמראה תהליך שעדיין מוגבל על ידי הסנדבוקס מצליח להגיע לממשק המקומי ולהעביר את הסשן ל-danger-full-access, עם פלט בדיקה, ועל פוסט שני ב-14 באוגוסט שמפרט את הבקשות שאותו ממשק קיבל ללא אישורי גישה. הפוסט השני ציין גם שללפרויקט לא היה קובץ מדיניות אבטחה ולא מסלול פרטי לדיווח על פגם; The Hacker News בדק ב-9 בספטמבר ומצא שקובץ מדיניות האבטחה עדיין חסר.
ציר הזמן של OX Security ממקם את הדיווח שלה ל-VulnCheck ב-24 באוגוסט 2026 — אותו תאריך ש-GitHub מתעד עבור קומיט התיקון. הודעת הקומיט אינה אומרת דבר על הדיווח, והגרסה הציבורית של OX Security, כפי ש-The Hacker News מתאר אותה, אינה מזכירה את הפוסטים הקהילתיים המוקדמים יותר. האם שני האירועים ב-24 באוגוסט היו קשורים זה לזה אינו דבר שהתיעוד הציבורי קובע, ומאמר זה אינו מניח זאת.
הפער בין התיקון לבין החשיפה אינו יוצא דופן. בהערת Cloud Security Alliance מצוין כי OX Security אישרה את התיקון ב-30 באוגוסט, תשעה ימים לפני ש-VulnCheck פרסמה את ה-CVE.
היכן שהתיקון נחת, והיכן שלא
תג ה-GitHub ורישום החבילות לא התקדמו יחד, וזה החלק שכדאי לדעת אם התקנת את ההרנס כפי שההוראות שלו מציעות. חבילת שורת הפקודה, @deepseek-ai/dsh, פורסמה בגרסה 0.1.1-rc.2 ב-21 באוגוסט 2026 ואחר כך כלום עד 0.1.2-alpha.2 ב-30 באוגוסט. גרסה 0.1.2-alpha.1, זו שה-CVE מציין כתיקון, נעדרת מהרישום entirely, כך שהגרסה המתוקנת הראשונה שאפשר להתקין פיגרה אחרי התיקון בשלושה ימים. מטא-נתוני רישום ה-npm נקראו עבור מאמר זה ב-28 באוקטובר 2026; The Hacker News דיווח על אותו פער ב-9 בספטמבר.
הערות השחרור לא הציגו אותו כשחרור אבטחה. הן מפרטות, בין שינויים שגרתיים, שממשק האינטרנט מחייב כעת אימות באמצעות טוקן חד-פעמי לגישה לרשת, בלי אזכור CVE ובלי הודעת אבטחה, ו-The Hacker News לא מצא ייעוץ אבטחה ברשימת הייעוצים של המאגר ב-9 בספטמבר. המנגנון, כפי שמתארת אותו Cloud Security Alliance: ה-harness מדפיס טוקן חד-פעמי בעת האתחול, הדפדפן מחליף את הטוקן הזה בעוגייה חתומה, וכל קריאה לאחר מכן חייבת להציג את העוגייה — אמון הכרוך בסוד שהונפק בתחילת התהליך ולא במקור רשת מוצהר.
גרסאות בנייה של צד שלישי הן הנקודה שנותרה פתוחה. עטיפות שולחן עבודה מגיעות עם עותק משלהן של ה-harness, כך שאיזו גרסה משתמש מריץ היא בחירתו של מתחזק העטיפה; אתר The Hacker News מצא גרסת בנייה אחת של Windows שהייתה מוצמדת ל-0.1.1-rc.2 בסוף אוגוסט ועברה ב-6 בספטמבר ל-0.1.3-alpha.1, שמכילה את התיקון.
ה-sandbox עצמו לא השתנה. בקריאת מסמך הייחוס של שורת הפקודה 0.1.2-rc.1, The Hacker News מצא את אותה הצהרה שלפיה קריאות וגישה לרשת אינן מוגבלות, ומצא שה-shell של הסוכן עדיין מקבל את כתובת הממשק. אף מקור בדיווח הזה לא אומר האם סוכן שפועל בתוך ה-workspace שלו עדיין יכול להשיג סשן תקף תחת הסכימה החדשה — שאלה שתיעוד ה-patch עצמו מותיר פתוחה.
מה שממליצים מקורות הרשומה
• התייחס לכל התקנה בגרסה 0.1.1-rc.2 או מוקדמת יותר כמושפעת, ללא קשר לאופן שבו היא נארזה, כולל עותק המוטמע במעטפת שולחן עבודה.
• התקן 0.1.2-alpha.2 ומעלה מ-npm; הגרסה החדשה ביותר ברג'יסטרי ב-27 באוקטובר 2026 הייתה 0.2.2-alpha.2.
• אם לא ניתן לשדרג, עצור את ממשק האינטרנט כשהוא אינו בשימוש והסר כל מנהרה, פרוקסי או העברת פורט שמגיעים לפורט 3080.
בדוק אם פורט 3080 נגיש מכל מקום אחר מלבד loopback, כולל העברת פורטים של קונטיינרים, פרוקסי הפוך ומנהרות SSH.
• תַּעֲדוּ שינויים בהסלמת הרשאות ובמצב אישור ברמת ה-harness, מפני שההתקפה פעלה בכך שהפכה הסלמה בלתי מורשית למראית פעילות שגרתית.
כל חמשת אלה מגיעים מהערת Cloud Security Alliance ומהדיווח של The Hacker News; רשומת ה-CVE עצמה אינה כוללת הנחיות תיקון מעבר לגרסה המתוקנת.
מדוע Cloud Security Alliance רואה בזה תבנית
ההערה של Cloud Security Alliance מציבה את ה-CVE הזה לצד שני כשלי בלימה נוספים של סוכני קידוד שתיעדה ב-2026: GuardFall ב-1 ביולי, שבו ניתן היה לגרום לעשרה מתוך אחד-עשר סוכני קידוד פופולריים בקוד פתוח להריץ פקודות shell שמנגנוני ההגנה שלהם נועדו לחסום, ולממצאי העברת האמון מ-22 ביולי, שבהם סוכן מרוסן כתב קובץ שרכיב מהימן מחוץ לארגז החול הריץ אותו מאוחר יותר. ההערה מפורשת שכל שלושת המקרים מגיעים ממחקר שלה עצמה ולא מסקר מקיף של השוק, ושהאם הדפוס מוכלל מעבר לסוכנים שהיא בחנה טרם נקבע. מה שהיא כן טוענת הוא שהכשלים נמצאים בשכבות שונות — מעקות הגנה על פקודות, אמון במורד הזרם, וכעת אימות מישור הבקרה — ולכן היא ממליצה להתייחס לארכיטקטורת ארגז חול כאל שאלת רכש ולא כדרישה שמולאה.
תיעוד הבטיחות של DeepSeek עצמה אינו סותר את הפרשנות הזו. בקובץ SAFETY.md של המאגר נכתב שהתוכנה "לא עברה ביקורת אבטחה ואסור להתייחס אליה כמאובטחת או כמוכנה לייצור", ושהרצה בארגז חול, בקשות אישור ובקרות הרשאה "אינן מבטיחות בידוד ואינן מונעות נזק". פער האימות שאפשר לסוכן לצאת החוצה דרך API הבקרה סגור בגרסאות הבנייה הנוכחיות. חוסר הסימטריה שהפך את היציאה לקצרה — גבול סביב פעולות כתיבה ושום דבר סביב הרשת — נותר מגבלה מוצהרת של ארגז החול ולא פגם שהתיקון נועד לתקן.
