DeepSeek Harness CVE-2026-82533: agen dalam sandbox menonaktifkan sandbox-nya sendiri dengan satu perintah

VulnCheck menerbitkan CVE-2026-82533 pada 8 September 2026: bypass autentikasi kritis yang memungkinkan agen pengodean AI mematikan sandbox-nya sendiri dengan satu perintah shell. Perangkat lunaknya adalah DeepSeek Harness, runtime lokal open-source DeepSeek untuk agen pengodean, yang menurut Cloud Security Alliance meraih sekitar 215.000 bintang GitHub dalam beberapa minggu; semua versi sebelum 0.1.2-alpha.1 terdampak. Perangkat ini menilai apakah pemanggil bersifat lokal dari header Host milik pemanggil itu sendiri, sehingga sebuah permintaan dapat mengklaim sebagai loopback. Karena sandbox-nya membatasi penulisan file tetapi tidak membatasi jaringan loopback, agen yang terkurung di dalamnya dapat memanggil API kontrol tanpa autentikasi milik harness di port 3080 dan mengalihkan sesinya ke danger-full-access dengan persetujuan dimatikan. VulnCheck memberinya skor 9,4, kritis; tidak ada klaim eksploitasi di dunia nyata. Catatan tersebut adalah satu entri dalam kumpulan data publik insiden AI, dan Orca AI Incident Archive menyimpan kumpulan catatan lengkapnya, dengan tanggal, tingkat keparahan, dan sumber untuk setiap entri.

Pemeriksaan yang menanyakan kepada sebuah permintaan apa itu

Komponen yang rentan adalah API kendali agen lokal milik harness, yakni layanan HTTP kecil yang digunakan antarmuka web dan baris perintah untuk mengendalikan sesi yang sedang berjalan. Menurut catatan riset Cloud Security Alliance tertanggal 10 September 2026, yang mengacu pada tulisan OX Security, perusahaan yang menemukan cacat tersebut, layanan itu secara default mendengarkan pada 127.0.0.1 port 3080 dan mengambil keputusan kepercayaannya di dalam fungsi yang oleh catatan itu disebut isTrustedApiRequest. Fungsi tersebut membaca header Host HTTP dan memberikan akses ketika nilainya cocok dengan nama loopback seperti localhost atau 127.0.0.1. Header Host adalah metadata yang ditulis oleh klien; header itu tidak mengatakan apa pun tentang dari mana koneksi TCP berasal. The Hacker News, dengan mengutip sumber terdampak pada 9 September 2026, melaporkan bahwa pemeriksaan itu tidak pernah melihat asal koneksi dan bahwa sebuah komentar di berkas yang sama menyatakan pemeriksaan tersebut "bukan lapisan autentikasi."

Itulah keseluruhan CWE-807, yaitu ketergantungan pada input yang tidak tepercaya dalam suatu keputusan keamanan, dan itulah yang dijelaskan dalam catatan terbit VulnCheck: header Host loopback yang dipasok klien diterima sebagai pengganti memvalidasi asal koneksi TCP yang sebenarnya.

Apa yang mengubah pemeriksaan yang buruk menjadi jalur pelarian adalah harness yang menyerahkan kuncinya sendiri kepada agen. The Hacker News melaporkan bahwa harness meneruskan ke shell agen alamat antarmuka kendali dan pengenal sesi saat ini, sehingga sebuah perintah tidak perlu menemukan salah satunya. Sementara itu, sandbox mencakup satu saluran dan bukan saluran lainnya: referensi baris perintah untuk rilis yang terdampak menyatakan bahwa dalam pengaturan default, penulisan tetap berada di dalam ruang kerja dan folder sementara, sedangkan pembacaan dan akses jaringan tidak dibatasi.

Mengapa prompt persetujuan tidak menghentikannya

Harness tersebut memang memiliki prompt persetujuan, dan prompt itu tidak begitu banyak dilewati melainkan tidak berlaku. Hacker News melaporkan bahwa dalam rilis yang terdampak, persetujuan hanya diminta ketika sebuah perintah mencari akses yang lebih luas daripada yang sudah dimiliki sesi. Panggilan eskalasi itu tidak mencari hal semacam itu; ia mengubah pengaturan sesi. Agen yang menjalankannya beralih ke mode yang oleh OX Security disebut danger-full-access, dengan prompt persetujuan disetel ke never, dan terus berjalan sebagai pengguna yang meluncurkan harness, sepenuhnya di luar sandbox.

Bukti OX Security untuk batas tersebut adalah sepasang uji terkontrol. The Hacker News melaporkan bahwa perusahaan itu menjalankan dua sesi dengan pengaturan default yang identik dan memberikan perintah yang sama kepada keduanya: sesi yang melakukan panggilan tersebut menulis ke folder di luar ruang kerjanya, dan sesi lainnya diblokir.

Jalur kedua, dan prasyarat yang dibutuhkannya

Pemeriksaan yang hilang yang sama mengekspos harness kepada pemanggil yang sama sekali tidak pernah berada di dalam sandbox, tetapi hanya dalam kondisi yang tidak dibuat oleh konfigurasi default. Baris perintah menolak mengikat API ke semua antarmuka jaringan, sehingga port hanya dapat dijangkau dari tempat lain jika pengguna sudah meneruskannya — melalui tunnel, reverse proxy, forward SSH, atau fitur port-forwarding milik editor, menurut The Hacker News; catatan Cloud Security Alliance mencantumkan rangkaian yang sama. Jika prasyarat itu terpenuhi, menurut advisory VulnCheck, pemanggil tanpa kredensial dapat membuat sesi, menjalankan perintah arbitrer, dan mengeksfiltrasi transkrip percakapan yang tersimpan. The Hacker News menambahkan bahwa antarmuka yang sama melayani permintaan yang mengunduh seluruh log suatu sesi.

Jalur sandbox memerlukan prasyarat yang berbeda: teks yang akan dibaca dan ditindaklanjuti oleh agen. Catatan Cloud Security Alliance menjelaskan agen terbatas yang menangani prompt yang dipasok penyerang yang tertanam dalam komentar kode, file README, atau teks issue. Tidak ada jalur yang memerlukan kunci yang dicuri, dan catatan tersebut mengamati bahwa jalur remote tidak memerlukan interaksi sama sekali dengan model setelah port terekspos.

Populasi yang terpapar karenanya adalah siapa pun yang menjalankan harness pada 0.1.1-rc.2 atau lebih awal dengan pengaturan default, suatu himpunan yang hanya digambarkan secara samar oleh jumlah bintang. The Hacker News menghitung lebih dari 216.000 bintang pada 9 September 2026 dan memperingatkan bahwa bintang adalah penanda buku, bukan instalasi.

Apa yang sudah mapan, dan apa yang belum

Terkonfirmasi, dari catatan CVE itu sendiri: VulnCheck adalah otoritas penomoran, yang memesan pengenal tersebut pada 29 Agustus 2026 dan menerbitkan catatan itu pada 8 September pukul 16.59 UTC; kelemahannya adalah CWE-807; rentang yang terdampak adalah setiap versi sebelum 0.1.2-alpha.1; dan kreditnya diberikan kepada Nir Zadok dan Moshe Siman Tov Bustan. Dua skor yang tercantum dalam catatan tersebut, 9,4 menurut CVSS 4.0 dan 9,6 menurut CVSS 3.1, berasal dari VulnCheck, bukan dari penilai kedua yang independen — NVD mencantumkan kedua metrik dengan VulnCheck sebagai sumbernya — sehingga keduanya merupakan satu penilaian yang diungkapkan dalam dua kerangka kerja, bukan dua penilaian yang saling bersesuaian.

Terkonfirmasi, dari repositori: commit perbaikan 3e24087, berjudul "fix(web): authenticate the browser Host API," bertanggal 24 Agustus 2026, dan menambahkan modul autentikasi browser beserta 210 baris uji end-to-end untuk alur baru tersebut, menurut GitHub API. Rilis dengan tag dsh-v0.1.2-alpha.1 menyusul pada 27 Agustus pukul 17:06 UTC.

Belum ditetapkan: gunakan. Baik catatan CVE, advisory VulnCheck, maupun catatan rilis DeepSeek tidak menjelaskan eksploitasi di dunia nyata, dan NVD mencatat kematangan eksploitasi sebagai tidak terdefinisi. Model EPSS FIRST memberi cacat ini probabilitas eksploitasi sebesar 1,24% dalam 30 hari berikutnya, pada persentil ke-68,9, dalam feed bertanggal 27 Oktober 2026. Arsip tidak mencatat kerugian di dunia nyata untuk entri ini dan memberinya nilai keyakinan A, terdokumentasi dengan baik, dengan sumber-sumber primer yang sependapat.

Tanggal-tanggalnya, termasuk dua laporan yang muncul lebih dulu

Dua pengembang mencapai kesimpulan yang sama sebelum ada CVE yang bisa dirujuk. The Hacker News melaporkan sebuah unggahan di papan diskusi proyek itu sendiri pada 13 Agustus 2026 yang menunjukkan sebuah proses yang masih dibatasi oleh sandbox menjangkau antarmuka lokal dan mengalihkan sesi ke danger-full-access, lengkap dengan keluaran pengujian, dan unggahan kedua pada 14 Agustus yang mencantumkan permintaan-permintaan yang diterima antarmuka itu tanpa kredensial. Unggahan kedua juga mencatat bahwa proyek tersebut tidak memiliki berkas kebijakan keamanan dan tidak memiliki jalur privat untuk melaporkan celah; The Hacker News memeriksa pada 9 September dan menemukan berkas kebijakan keamanan itu masih belum ada.

Lini masa OX Security menempatkan laporannya kepada VulnCheck pada 24 Agustus 2026 — tanggal yang sama dengan yang dicatat GitHub untuk komit perbaikan. Pesan komit tersebut tidak menyebut apa pun tentang laporan itu, dan keterangan publik OX Security, sebagaimana diuraikan The Hacker News, tidak menyebutkan unggahan komunitas sebelumnya. Apakah kedua peristiwa pada 24 Agustus itu saling berkaitan bukanlah hal yang dinyatakan dalam catatan publik, dan artikel ini tidak mengasumsikannya.

Jeda antara perbaikan dan pengungkapan bukan hal yang luar biasa. Catatan Cloud Security Alliance menyebutkan bahwa OX Security mengonfirmasi perbaikan pada 30 Agustus, sembilan hari sebelum VulnCheck menerbitkan CVE.

Di mana perbaikan itu diterapkan, dan di mana tidak

Tag GitHub dan registri paket tidak bergerak bersamaan, dan itulah bagian yang perlu diketahui jika Anda memasang harness sesuai saran instruksinya. Paket command-line, @deepseek-ai/dsh, menerbitkan 0.1.1-rc.2 pada 21 Agustus 2026 lalu tidak ada apa pun hingga 0.1.2-alpha.2 pada 30 Agustus. Versi 0.1.2-alpha.1, versi yang disebut CVE sebagai perbaikannya, sama sekali tidak ada di registri, sehingga rilis perbaikan pertama yang dapat dipasang tertinggal tiga hari dari perbaikannya. Metadata registri npm dibaca untuk artikel ini pada 28 Oktober 2026; The Hacker News melaporkan celah yang sama pada 9 September.

Catatan rilis tidak membingkainya sebagai rilis keamanan. Di antara perubahan rutin, catatan itu mencantumkan bahwa antarmuka web kini memerlukan autentikasi token sekali pakai untuk akses jaringan, tanpa referensi CVE dan tanpa pemberitahuan keamanan, dan The Hacker News tidak menemukan pengumuman keamanan dalam daftar advis repositori tersebut pada 9 September. Mekanismenya, sebagaimana dijelaskan Cloud Security Alliance: harness mencetak token sekali pakai saat startup, browser menukarkan token itu dengan cookie bertanda tangan, dan setiap panggilan berikutnya harus menyertakan cookie tersebut — kepercayaan diikatkan pada rahasia yang diterbitkan saat proses dimulai, bukan pada asal jaringan yang diklaim.

Build pihak ketiga adalah celah yang belum tuntas. Wrapper desktop membawa salinan harness mereka sendiri, jadi versi mana yang dijalankan pengguna adalah pilihan pemelihara wrapper; The Hacker News menemukan satu build Windows yang dipatok ke 0.1.1-rc.2 pada akhir Agustus yang beralih ke 0.1.3-alpha.1, yang membawa perbaikan, pada 6 September.

Sandbox itu sendiri tidak berubah. Saat membaca referensi baris perintah 0.1.2-rc.1, The Hacker News menemukan pernyataan yang sama bahwa akses baca dan jaringan tidak dibatasi, serta menemukan bahwa shell agen masih menerima alamat antarmuka. Tidak ada sumber dalam laporan itu yang menyatakan apakah agen yang bekerja di dalam ruang kerjanya masih dapat memperoleh sesi yang valid di bawah skema baru, sebuah pertanyaan yang dibiarkan terbuka oleh dokumentasi patch itu sendiri.

Apa yang direkomendasikan oleh sumber-sumber catatan

• Anggap setiap instalasi pada 0.1.1-rc.2 atau lebih lama sebagai terdampak, terlepas dari bagaimana cara pengemasannya, termasuk salinan yang disematkan dalam pembungkus desktop.

• Pasang 0.1.2-alpha.2 atau versi yang lebih baru dari npm; versi terbaru di registri pada 27 Oktober 2026 adalah 0.2.2-alpha.2.

• Jika Anda tidak dapat melakukan upgrade, hentikan antarmuka web saat tidak digunakan dan hapus tunnel, proxy, atau port forward apa pun yang menjangkau port 3080.

• Periksa apakah port 3080 dapat dijangkau dari mana pun selain loopback, termasuk penerusan port kontainer, reverse proxy, dan tunnel SSH.

• Catat perubahan eskalasi hak istimewa dan mode persetujuan di tingkat harness, karena serangan itu berhasil dengan membuat eskalasi tanpa otorisasi tampak seperti aktivitas rutin.

Kelima hal itu berasal dari catatan Cloud Security Alliance dan pemberitaan The Hacker News; catatan CVE itu sendiri tidak memuat panduan remediasi selain versi yang telah diperbaiki.

Mengapa Cloud Security Alliance membacanya sebagai sebuah pola

Catatan Cloud Security Alliance menempatkan CVE ini bersama dua kegagalan pengurungan agen pengoding lain yang didokumentasikannya pada 2026: GuardFall pada 1 Juli, ketika sepuluh dari sebelas agen pengoding sumber terbuka populer dapat dibujuk untuk menjalankan perintah shell yang hendak diblokir oleh guardrail mereka, dan temuan serah-terima kepercayaan pada 22 Juli, ketika agen yang terkurung menulis file yang kemudian dieksekusi oleh komponen tepercaya di luar sandbox. Catatan itu menegaskan bahwa ketiganya berasal dari riset mereka sendiri, bukan dari survei pasar yang menyeluruh, dan bahwa apakah pola tersebut berlaku umum di luar agen yang diperiksa belum dapat dipastikan. Yang argumentasikannya adalah bahwa kegagalan-kegagalan itu berada pada lapisan yang berbeda — guardrail perintah, kepercayaan hilir, dan kini autentikasi bidang kendali — dan itulah sebabnya ia merekomendasikan memperlakukan arsitektur sandbox sebagai persoalan pengadaan, bukan sebagai persyaratan yang sudah terpenuhi.

Dokumentasi keselamatan DeepSeek sendiri tidak bertentangan dengan pembacaan itu. SAFETY.md di repositori tersebut menyatakan bahwa perangkat lunak "belum menjalani audit keamanan dan tidak boleh dianggap aman atau siap produksi," dan bahwa sandboxing, prompt persetujuan, serta kontrol izin "tidak menjamin isolasi atau mencegah kerusakan." Celah autentikasi yang memungkinkan agen keluar melalui API kontrol telah ditutup pada build saat ini. Asimetri yang membuat jalan keluar itu singkat — batas di sekitar operasi tulis dan tidak ada batas di sekitar jaringan — tetap menjadi keterbatasan sandbox yang dinyatakan, bukan cacat yang hendak diperbaiki oleh patch tersebut.