DeepSeek Harness CVE-2026-82533: 샌드박스 내 에이전트가 단 한 번의 명령으로 자체 샌드박스를 비활성화한다

VulnCheck은 2026년 9월 8일 CVE-2026-82533을 공개했습니다. 이는 AI 코딩 에이전트가 셸 명령 하나로 자체 샌드박스를 끌 수 있게 한 치명적인 인증 우회 취약점입니다. 해당 소프트웨어는 DeepSeek의 코딩 에이전트용 오픈소스 로컬 런타임인 DeepSeek Harness이며, Cloud Security Alliance에 따르면 몇 주 만에 약 215,000개의 GitHub 스타를 받았습니다. 0.1.2-alpha.1 이전의 모든 버전이 영향을 받습니다. 이 소프트웨어는 호출자가 로컬인지 여부를 호출자 자신의 Host 헤더로 판단했기 때문에, 요청이 루프백이라고 주장할 수 있었습니다. 샌드박스가 파일 쓰기는 제한했지만 루프백 네트워킹은 제한하지 않았기 때문에, 격리된 에이전트가 포트 3080의 하네스 무인증 제어 API를 호출하고 승인을 끈 상태에서 세션을 danger-full-access로 전환할 수 있었습니다. VulnCheck은 이 취약점에 9.4점, 치명적으로 평가했으며, 실제 공격에서의 악용은 주장되지 않았습니다. 이 기록은 AI 사고 공개 데이터셋의 한 항목이며, Orca AI Incident Archive는 각 항목의 날짜, 심각도 등급, 출처와 함께 전체 기록 세트를 보유하고 있습니다.

요청에게 그것이 무엇인지 물어본 체크

취약한 구성 요소는 하네스의 로컬 에이전트 제어 API, 즉 웹 인터페이스와 명령줄이 실행 중인 세션을 구동하는 데 사용하는 소규모 HTTP 서비스입니다. 결함을 발견한 회사인 OX Security의 분석 글을 인용한 클라우드 보안 연합(Cloud Security Alliance)의 2026년 9월 10일 연구 노트에 따르면, 해당 서비스는 기본적으로 127.0.0.1의 3080 포트에서 수신 대기했고 노트에서 isTrustedApiRequest라고 명명한 함수에서 신뢰 결정을 내렸습니다. 이 함수는 HTTP Host 헤더를 읽고 그 값이 localhost나 127.0.0.1 같은 루프백 이름과 일치하면 접근을 허용했습니다. Host 헤더는 클라이언트가 작성하는 메타데이터로, TCP 연결이 어디서 왔는지는 전혀 알려주지 않습니다. The Hacker News는 2026년 9월 9일 해당 소스를 인용하여, 이 검사가 연결의 출처를 전혀 확인하지 않았으며 같은 파일의 주석에는 이 검사가 "인증 계층이 아니다"라고 적혀 있다고 보도했습니다.

이것이 바로 CWE-807, 즉 보안 결정에서 신뢰할 수 없는 입력에 의존하는 것의 전부이며, VulnCheck가 공개한 기록이 설명하는 바이기도 합니다: 실제 TCP 연결 출처를 검증하는 대신 클라이언트가 제공한 루프백 Host 헤더를 받아들이는 것입니다.

잘못된 검사를 탈출 경로로 바꾼 것은 하네스가 에이전트에게 자체 키를 건네준 것이었다. The Hacker News는 하네스가 에이전트의 셸에 제어 인터페이스의 주소와 현재 세션의 식별자를 전달하므로, 명령이 둘 중 어느 것도 스스로 찾아낼 필요가 없다고 보도한다. 한편 샌드박스는 한 채널은 막았지만 다른 채널은 막지 않았다. 영향을 받은 릴리스의 명령줄 참조 문서에 따르면 기본 설정에서는 쓰기가 작업 공간과 임시 폴더 안에 머무르지만, 읽기와 네트워크 접근은 제한되지 않는다.

승인 프롬프트가 그것을 막지 못한 이유

하네스에는 실제로 승인 프롬프트가 있었지만, 그것은 우회된 것이 아니라 적용 대상이 아니었다. The Hacker News에 따르면 영향을 받은 릴리스에서는 명령이 세션이 이미 보유한 것보다 더 넓은 접근 권한을 요청할 때만 승인이 요구되었다. 권한 상승 호출은 그런 것을 요청하지 않았고, 세션의 설정을 변경했다. 이를 실행한 에이전트는 OX Security가 danger-full-access라고 부르는 모드로 전환되었으며, 승인 프롬프트는 never로 설정되었고, 샌드박스 밖에서 하네스를 실행한 사용자로서 계속 실행되었다.

OX Security가 그 경계를 입증한 근거는 통제된 한 쌍의 실험이었다. Hacker News에 따르면, 이 회사는 동일한 기본 설정으로 두 개의 세션을 실행하고 두 세션에 같은 명령을 내렸는데, 호출을 수행한 세션은 자신의 워크스페이스 밖에 있는 폴더에 기록을 남겼고, 다른 세션은 차단되었다.

두 번째 경로, 그리고 그것이 필요로 했던 전제 조건

같은 누락된 검사로 인해 하네스가 샌드박스 안에 전혀 들어본 적이 없는 호출자에게 노출되었지만, 이는 기본 구성이 만들지 않은 조건에서만 발생했다. 명령줄은 API를 모든 네트워크 인터페이스에 바인딩하는 것을 거부했으므로, 사용자가 이미 포트를 전달한 경우에만 해당 포트에 다른 곳에서 접근할 수 있었다. The Hacker News에 따르면 그 방식은 터널, 리버스 프록시, SSH 포워드 또는 편집기 자체의 포트 포워딩 기능을 통하는 것이었으며, Cloud Security Alliance 문서도 같은 목록을 제시한다. VulnCheck의 권고에 따르면 그 전제 조건이 충족된 경우 자격 증명이 없는 호출자가 세션을 생성하고 임의 명령을 실행하며 저장된 대화 기록을 유출할 수 있었다. The Hacker News는 같은 인터페이스가 세션의 전체 로그를 다운로드하는 요청을 처리했다고 덧붙였다.

샌드박스 경로에는 다른 전제 조건이 필요합니다. 바로 에이전트가 읽고 그에 따라 조치할 텍스트입니다. Cloud Security Alliance 문서는 코드 주석, README 파일 또는 이슈 텍스트에 삽입된 공격자 제공 프롬프트를 처리하는 격리된 에이전트를 설명합니다. 어느 경로도 탈취된 키를 요구하지 않으며, 이 문서는 포트가 노출되면 원격 경로는 모델과 전혀 상호작용할 필요가 없다고 관찰합니다.

따라서 노출 대상 집단은 기본 설정으로 0.1.1-rc.2 이하 버전에서 하네스를 실행한 모든 사람이며, 이 집단은 스타 수가 겨우 암시할 뿐인 규모입니다. The Hacker News는 2026년 9월 9일 216,000개가 넘는 스타를 집계하면서, 스타는 설치가 아니라 북마크일 뿐이라고 경고했습니다.

무엇이 확립되었고, 무엇이 그렇지 않은가

CVE 기록 자체에서 확인된 사항: VulnCheck은 번호 부여 기관이며, 2026년 8월 29일에 식별자를 예약했고 9월 8일 16:59 UTC에 기록을 게시했습니다. 약점은 CWE-807이고, 영향 범위는 0.1.2-alpha.1 이전의 모든 버전이며, 공로는 Nir Zadok과 Moshe Siman Tov Bustan에게 돌아갑니다. 기록에 포함된 두 점수인 CVSS 4.0 기준 9.4와 CVSS 3.1 기준 9.6은 두 번째 독립 평가자가 아니라 VulnCheck에서 나온 것입니다 — NVD는 두 지표 모두 출처를 VulnCheck로 표시합니다 — 따라서 이는 두 평가가 일치한 것이 아니라 하나의 평가를 두 프레임워크로 표현한 것입니다.

저장소에서 확인된 바에 따르면, 수정 커밋 {{1}}3e24087{{/1}}은 "{{2}}fix(web): 브라우저 Host API 인증,{{/2}}"라는 제목으로 2026년 8월 24일 자이며, GitHub API에 따르면 새로운 흐름을 위한 210줄의 엔드투엔드 테스트와 함께 브라우저 인증 모듈을 추가합니다. dsh-v0.1.2-alpha.1로 태그된 릴리스는 8월 27일 17:06 UTC에 뒤이어 나왔습니다.

확립되지 않음: 사용. CVE 기록, VulnCheck의 권고, DeepSeek의 릴리스 노트 어디에도 실제 환경에서의 악용을 설명하지 않으며, NVD는 악용 성숙도를 정의되지 않음으로 기록한다. FIRST의 EPSS 모델은 2026년 10월 27일자 피드에서 해당 취약점에 향후 30일 내 악용될 확률 1.24%를 부여했으며, 이는 68.9번째 백분위수이다. 아카이브는 이 항목에 대해 실제 피해를 기록하지 않았고, 신뢰도 A, 충분히 문서화됨, 주요 출처들이 일치함으로 등급을 매겼다.

먼저 나온 두 보고서를 포함한 날짜들

개발자 두 명은 지목할 만한 CVE가 나오기도 전에 같은 결론에 도달했다. The Hacker News는 2026년 8월 13일 프로젝트 자체 토론 게시판에 올라온 글을 보도했는데, 그 글은 샌드박스에 여전히 갇혀 있던 프로세스가 로컬 인터페이스에 도달해 세션을 danger-full-access로 전환한 사실을 테스트 출력과 함께 보여주고 있었다. 그리고 8월 14일에는 그 인터페이스가 자격 증명 없이 수용한 요청들을 나열한 두 번째 글이 올라왔다. 두 번째 글은 또한 프로젝트에 보안 정책 파일이 없고 취약점을 신고할 비공개 경로도 없다는 점을 지적했다. The Hacker News가 9월 9일 확인한 결과 보안 정책 파일은 여전히 없었다.

OX Security의 타임라인에 따르면 VulnCheck에 보고한 날짜는 2026년 8월 24일이며, 이는 GitHub에 수정 커밋으로 기록된 날짜와 같습니다. 해당 커밋 메시지에는 그 보고에 대한 언급이 없으며, The Hacker News가 설명하는 OX Security의 공개 설명에도 앞선 커뮤니티 게시물에 대한 언급은 없습니다. 8월 24일의 두 사건이 서로 연관되었는지는 공개 기록에 명시되어 있지 않으며, 이 기사는 이를 전제하지 않습니다.

수정과 공개 사이의 간격은 이례적이지 않다. Cloud Security Alliance의 노트에는 OX Security가 8월 30일에 수정 사항을 확인했으며, 이는 VulnCheck가 CVE를 게시하기 9일 전이라고 기록되어 있다.

수정 사항이 적용된 곳과 적용되지 않은 곳

GitHub 태그와 패키지 레지스트리는 함께 움직이지 않았으며, 하네스를 안내에 나온 방식대로 설치했다면 바로 이 점을 알아둘 가치가 있습니다. 명령줄 패키지 @deepseek-ai/dsh는 2026년 8월 21일에 0.1.1-rc.2를 게시한 뒤 8월 30일의 0.1.2-alpha.2까지 아무것도 게시하지 않았습니다. CVE에서 수정 버전으로 지목한 0.1.2-alpha.1은 레지스트리에 아예 없어서, 처음으로 설치 가능한 수정 릴리스는 수정 조치보다 사흘 뒤처졌습니다. 이 기사를 위해 npm 레지스트리 메타데이터를 2026년 10월 28일에 확인했으며, The Hacker News는 9월 9일에 같은 격차를 보도했습니다.

릴리스 노트는 이를 보안 릴리스로 규정하지 않았다. 릴리스 노트는 일상적인 변경 사항들 가운데 웹 인터페이스가 이제 네트워크 접근 시 일회용 토큰 인증을 요구한다고 나열했을 뿐, CVE 언급도 보안 공지도 없었으며, The Hacker News는 9월 9일 해당 저장소의 보안 권고 목록에서 어떤 보안 권고도 찾지 못했다. Cloud Security Alliance가 설명하는 이 메커니즘은 다음과 같다. 하네스가 시작 시 일회용 토큰을 출력하면, 브라우저가 그 토큰을 서명된 쿠키로 교환하고, 이후의 모든 호출은 그 쿠키를 제시해야 한다. 즉 신뢰는 주장된 네트워크 출처가 아니라 프로세스 시작 시 발급된 비밀에 묶인다.

타사 빌드는 미해결로 남은 부분입니다. 데스크톱 래퍼는 하네스의 자체 사본을 함께 배포하므로, 사용자가 어떤 버전을 실행하는지는 래퍼 유지관리자의 선택입니다; {{1}}The Hacker News{{/1}}는 8월 말에 {{2}}0.1.1-rc.2{{/2}}에 고정되어 있던 Windows 빌드 하나가 수정 사항을 포함한 {{3}}0.1.3-alpha.1{{/3}}로 9월 6일에 이동한 것을 발견했습니다.

샌드박스 자체는 변경되지 않았다. 0.1.2-rc.1 명령줄 참조 문서를 읽으면서, The Hacker News는 읽기 및 네트워크 접근이 제한되지 않는다는 동일한 문구를 발견했고, 에이전트의 셸이 여전히 인터페이스 주소를 받는다는 점도 발견했다. 그 보도에 나오는 어떤 출처도 자신의 워크스페이스 안에서 작업하는 에이전트가 새 체계 아래에서 여전히 유효한 세션을 얻을 수 있는지에 대해 말하지 않으며, 이는 패치 자체의 문서가 열린 질문으로 남겨둔 사안이다.

기록의 출처가 권장하는 사항

• 패키징 방식과 관계없이 0.1.1-rc.2 이하 버전의 모든 설치를 영향을 받은 것으로 처리하십시오. 데스크톱 래퍼에 내장된 복사본도 포함됩니다.

• npm에서 0.1.2-alpha.2 이상을 설치하세요. 2026년 10월 27일 기준 레지스트리의 최신 버전은 0.2.2-alpha.2였습니다.

• 업그레이드할 수 없다면, 사용하지 않을 때 웹 인터페이스를 중지하고 포트 3080에 도달하는 터널, 프록시 또는 포트 포워드를 제거하십시오.

• 루프백 이외의 위치에서 포트 3080에 연결할 수 있는지 확인하세요. 여기에는 컨테이너 포트 포워딩, 리버스 프록시, SSH 터널이 포함됩니다.

• 하네스 수준에서 권한 상승과 승인 모드 변경을 기록하십시오. 공격은 무단 권한 상승을 일상적인 활동처럼 보이게 함으로써 성공했기 때문입니다.

다섯 가지 모두 Cloud Security Alliance의 문서와 The Hacker News의 보도에서 나온 것이며, CVE 레코드 자체에는 수정된 버전 외에는 어떠한 해결 지침도 포함되어 있지 않습니다.

왜 Cloud Security Alliance는 이를 패턴으로 해석하는가

클라우드 보안 연합(Cloud Security Alliance)의 문서는 이 CVE를 2026년에 자체적으로 기록한 또 다른 두 건의 코딩 에이전트 격리 실패 사례와 나란히 배치한다. 하나는 7월 1일의 GuardFall로, 널리 쓰이는 오픈소스 코딩 에이전트 11개 중 10개가 가드레일이 차단하도록 설계된 셸 명령을 실행하도록 유도될 수 있었던 사건이다. 다른 하나는 7월 22일의 신뢰 전달(trust-handoff) 관련 발견으로, 격리된 에이전트가 작성한 파일을 샌드박스 외부의 신뢰된 구성 요소가 나중에 실행한 사례다. 이 문서는 세 사례 모두 시장 전반을 망라한 조사가 아니라 자체 연구에서 나온 것임을 분명히 밝히고 있으며, 이러한 패턴이 조사 대상 에이전트를 넘어 일반화되는지는 입증되지 않았다고 한다. 다만 이 문서가 주장하는 것은 실패가 서로 다른 계층, 즉 명령 가드레일, 하위 신뢰, 그리고 이제는 제어 평면 인증에 걸쳐 있다는 점이며, 그렇기 때문에 샌드박스 아키텍처를 충족된 요구 사항이 아니라 조달 문제로 다루어야 한다고 권고한다는 것이다.

DeepSeek의 자체 안전 문서는 그런 해석과 모순되지 않는다. 저장소의 SAFETY.md는 해당 소프트웨어가 "보안 감사를 거치지 않았으며 안전하거나 프로덕션 준비가 된 것으로 간주되어서는 안 된다"고 명시하고, 샌드박싱, 승인 프롬프트, 권한 제어가 "격리를 보장하거나 피해를 방지하지는 않는다"고 밝힌다. 에이전트가 제어 API를 통해 빠져나갈 수 있었던 인증 공백은 현재 빌드에서는 닫혀 있다. 그 탈출을 짧게 만든 비대칭성, 즉 쓰기에는 경계가 있고 네트워크에는 아무 경계도 없는 구조는 패치가 고치려 했던 결함이라기보다 샌드박스의 명시된 한계로 남아 있다.