DeepSeek Harness CVE-2026-82533: เอเจนต์ที่อยู่ในแซนด์บ็อกซ์สามารถปิดใช้งานแซนด์บ็อกซ์ของตัวเองได้ด้วยคำสั่งเดียว

VulnCheck เผยแพร่ CVE-2026-82533 เมื่อวันที่ 8 กันยายน 2026: ช่องโหว่การข้ามการยืนยันตัวตนระดับวิกฤตที่ทำให้เอเจนต์เขียนโค้ด AI สามารถปิดแซนด์บ็อกซ์ของตัวเองได้ด้วยคำสั่งเชลล์เพียงคำสั่งเดียว ซอฟต์แวร์นี้คือ DeepSeek Harness ซึ่งเป็นรันไทม์โลคัลแบบโอเพนซอร์สของ DeepSeek สำหรับเอเจนต์เขียนโค้ด และ Cloud Security Alliance ระบุว่าได้รับดาว GitHub ประมาณ 215,000 ดวงภายในไม่กี่สัปดาห์ ทุกเวอร์ชันก่อน 0.1.2-alpha.1 ได้รับผลกระทบ ระบบตัดสินว่าผู้เรียกอยู่ในเครื่องเดียวกันหรือไม่โดยดูจากส่วนหัว Host ของผู้เรียกเอง ดังนั้นคำขอจึงสามารถอ้างได้ว่าเป็นลูปแบ็ก เนื่องจากแซนด์บ็อกซ์ของมันจำกัดเฉพาะการเขียนไฟล์ แต่ไม่ได้จำกัดการเชื่อมต่อเครือข่ายลูปแบ็ก เอเจนต์ที่ถูกจำกัดจึงสามารถเรียก API ควบคุมที่ไม่ต้องยืนยันตัวตนของฮาร์เนสบนพอร์ต 3080 และเปลี่ยนเซสชันของตนเป็น danger-full-access โดยปิดการอนุมัติ VulnCheck ให้คะแนน 9.4 ระดับวิกฤต โดยไม่มีการอ้างว่ามีการโจมตีในโลกจริง บันทึกนี้เป็นหนึ่งรายการในชุดข้อมูลสาธารณะของเหตุการณ์ที่เกี่ยวกับ AI และ the Orca AI Incident Archive เก็บชุดบันทึกทั้งหมด พร้อมวันที่ ระดับความรุนแรง และแหล่งที่มาของแต่ละรายการ

การตรวจสอบที่ถามคำขอนั้นว่ามันคืออะไร

องค์ประกอบที่มีช่องโหว่คือ API ควบคุมเอเจนต์ภายในเครื่องของฮาร์เนส ซึ่งเป็นบริการ HTTP ขนาดเล็กที่อินเทอร์เฟซเว็บและ командная строка ใช้เพื่อขับเคลื่อนเซสชันที่กำลังทำงาน ตามบันทึกผลการวิจัยของ Cloud Security Alliance ลงวันที่ 10 กันยายน 2026 ซึ่งอ้างอิงจากบทวิเคราะห์ของ OX Security บริษัทที่ค้นพบช่องโหว่ บริการดังกล่าวรับฟังบน 127.0.0.1 พอร์ต 3080 โดยค่าเริ่มต้น และตัดสินใจเรื่องความเชื่อถือภายในฟังก์ชันที่บันทึกระบุชื่อว่า isTrustedApiRequest ฟังก์ชันนี้อ่านส่วนหัว HTTP Host และอนุญาตการเข้าถึงเมื่อค่าตรงกับชื่อลูปแบ็ก เช่น localhost หรือ 127.0.0.1 ส่วนหัว Host เป็นเมทาดาทาที่ไคลเอนต์เขียนขึ้น และไม่ได้บอกอะไรเกี่ยวกับต้นทางของการเชื่อมต่อ TCP The Hacker News ซึ่งอ้างอิงซอร์สที่ได้รับผลกระทบเมื่อวันที่ 9 กันยายน 2026 รายงานว่าการตรวจสอบดังกล่าวไม่เคยดูต้นกำเนิดของการเชื่อมต่อ และความคิดเห็นในไฟล์เดียวกันระบุว่าการตรวจสอบนี้ "ไม่ใช่ชั้นการยืนยันตัวตน"

นั่นคือทั้งหมดของ CWE-807 การพึ่งพาอินพุตที่ไม่น่าเชื่อถือในการตัดสินใจด้านความปลอดภัย และนั่นคือสิ่งที่บันทึกที่เผยแพร่ของ VulnCheck อธิบายไว้: การยอมรับส่วนหัว Host แบบลูปแบ็กที่ไคลเอนต์จัดหาให้ แทนการตรวจสอบต้นกำเนิดของการเชื่อมต่อ TCP ที่แท้จริง

สิ่งที่เปลี่ยนการตรวจสอบที่ผิดพลาดให้กลายเป็นช่องทางหลบหนี คือการที่ฮาร์เนสยื่นกุญแจของเอเจนต์เองให้แก่เอเจนต์ Hacker News รายงานว่า ฮาร์เนสส่งที่อยู่ของอินเทอร์เฟซควบคุมและตัวระบุของเซสชันปัจจุบันไปยังเชลล์ของเอเจนต์ ดังนั้นคำสั่งจึงไม่จำเป็นต้องค้นหาทั้งสองอย่างนั้นเอง ในขณะเดียวกัน แซนด์บ็อกซ์ครอบคลุมช่องทางหนึ่งแต่ไม่ครอบคลุมอีกช่องทางหนึ่ง: เอกสารอ้างอิงบรรทัดคำสั่งสำหรับรีลีสที่ได้รับผลกระทบระบุว่า ภายใต้การตั้งค่าเริ่มต้น การเขียนจะอยู่ภายในเวิร์กสเปซและโฟลเดอร์ชั่วคราว ในขณะที่การอ่านและการเข้าถึงเครือข่ายไม่ถูกจำกัด

ทำไมข้อความแจ้งขออนุมัติจึงไม่หยุดมันได้

ฮาร์เนสมีพรอมต์ขออนุมัติจริง และพรอมต์เหล่านั้นไม่ได้ถูกข้ามไปเฉย ๆ แต่เป็นเพราะมันใช้บังคับไม่ได้ต่างหาก Hacker News รายงานว่าในรีลีสที่ได้รับผลกระทบ มีการขออนุมัติเฉพาะเมื่อคำสั่งพยายามเข้าถึงสิทธิ์ที่กว้างกว่าที่เซสชันมีอยู่แล้วเท่านั้น การเรียกเพื่อยกระดับสิทธิ์ไม่ได้ขออะไรในลักษณะนั้นเลย มันเปลี่ยนการตั้งค่าของเซสชัน เอเจนต์ที่รันคำสั่งนั้นได้ย้ายไปยังโหมดที่ OX Security เรียกว่า danger-full-access โดยตั้งพรอมต์ขออนุมัติเป็น never และยังคงทำงานในฐานะผู้ใช้ที่เปิดฮาร์เนสขึ้นมา โดยอยู่นอกแซนด์บ็อกซ์โดยสิ้นเชิง

หลักฐานของ OX Security สำหรับขอบเขตดังกล่าวคือชุดทดลองแบบควบคุมหนึ่งคู่ The Hacker News รายงานว่า บริษัทได้รันสองเซสชันจากค่าตั้งต้นที่เหมือนกันทุกประการ และให้คำสั่งเดียวกันกับทั้งสองเซสชัน: เซสชันที่ทำการเรียกนั้นเขียนไปยังโฟลเดอร์นอกเวิร์กสเปซของตน ขณะที่อีกเซสชันถูกบล็อก

เส้นทางที่สอง และเงื่อนไขเบื้องต้นที่มันจำเป็นต้องมี

การตรวจสอบที่ขาดหายไปจุดเดียวกันนี้ทำให้ฮาร์เนสถูกเปิดเผยต่อผู้เรียกที่ไม่ได้อยู่ในแซนด์บ็อกซ์เลย แต่จะเกิดขึ้นภายใต้เงื่อนไขที่การกำหนดค่าเริ่มต้นไม่ได้สร้างขึ้นเท่านั้น เครื่องมือบรรทัดคำสั่งปฏิเสธที่จะผูก API เข้ากับอินเทอร์เฟซเครือข่ายทั้งหมด ดังนั้นพอร์ตจึงเข้าถึงได้จากที่อื่นก็ต่อเมื่อผู้ใช้ได้ส่งต่อพอร์ตนั้นไว้แล้วเท่านั้น — ผ่านทันเนล รีเวิร์สพร็อกซี การส่งต่อ SSH หรือฟีเจอร์ส่งต่อพอร์ตของโปรแกรมแก้ไขโค้ดเอง ตามรายงานของ The Hacker News; บันทึกของ Cloud Security Alliance ระบุชุดเดียวกัน ในกรณีที่เงื่อนไขเบื้องต้นนั้นเป็นจริง คำเตือนของ VulnCheck ระบุว่า ผู้เรียกที่ไม่มีข้อมูลรับรองสามารถสร้างเซสชัน รันคำสั่งตามอำเภอใจ และขโมยบันทึกบทสนทนาที่จัดเก็บไว้ได้ The Hacker News เสริมว่า อินเทอร์เฟซเดียวกันรองรับคำขอที่ดาวน์โหลดบันทึกทั้งหมดของเซสชัน

เส้นทางแบบแซนด์บ็อกซ์ต้องมีเงื่อนไขเบื้องต้นที่แตกต่างออกไป นั่นคือข้อความที่เอเจนต์จะอ่านและลงมือทำตาม บันทึกของ Cloud Security Alliance อธิบายถึงเอเจนต์ที่ถูกจำกัดขอบเขตซึ่งจัดการกับพรอมต์ที่ผู้โจมตีจัดหาให้และฝังอยู่ในคอมเมนต์โค้ด ไฟล์ README หรือข้อความใน issue ทั้งสองเส้นทางไม่จำเป็นต้องใช้คีย์ที่ถูกขโมย และบันทึกดังกล่าวสังเกตว่าเส้นทางรีโมตไม่จำเป็นต้องมีปฏิสัมพันธ์กับโมเดลเลยเมื่อพอร์ตถูกเปิดเผย

ดังนั้น กลุ่มที่ได้รับผลกระทบคือใครก็ตามที่รัน harness เวอร์ชัน 0.1.1-rc.2 หรือก่อนหน้าโดยใช้การตั้งค่าเริ่มต้น ซึ่งเป็นกลุ่มที่จำนวนดาวเพียงชี้ให้เห็นอย่างคร่าว ๆ เท่านั้น The Hacker News นับได้มากกว่า 216,000 ดาวเมื่อวันที่ 9 กันยายน 2026 และเตือนว่าดาวเป็นเพียงการบุ๊กมาร์ก ไม่ใช่การติดตั้ง

สิ่งที่ได้รับการยืนยันแล้ว และสิ่งที่ยังไม่ได้รับการยืนยัน

ยืนยันได้จากบันทึก CVE โดยตรงว่า VulnCheck เป็นหน่วยงานกำหนดหมายเลข ซึ่งได้จองตัวระบุเมื่อวันที่ 29 สิงหาคม 2026 และเผยแพร่บันทึกเมื่อวันที่ 8 กันยายน เวลา 16:59 UTC; จุดอ่อนคือ CWE-807; ช่วงที่ได้รับผลกระทบคือทุกเวอร์ชันก่อน 0.1.2-alpha.1; และเครดิตเป็นของ Nir Zadok และ Moshe Siman Tov Bustan คะแนนสองค่าที่บันทึกระบุ คือ 9.4 ภายใต้ CVSS 4.0 และ 9.6 ภายใต้ CVSS 3.1 มาจาก VulnCheck ไม่ใช่จากผู้ให้คะแนนรายที่สองที่เป็นอิสระ — NVD ระบุเมตริกทั้งสองโดยมี VulnCheck เป็นแหล่งที่มา — ดังนั้นจึงเป็นการประเมินเดียวที่แสดงออกในสองกรอบ ไม่ใช่การประเมินสองครั้งที่ตรงกัน

ยืนยันจากรีโพซิทอรีแล้วว่า คอมมิตแก้ไข 3e24087 ซึ่งมีชื่อว่า "fix(web): authenticate the browser Host API" ลงวันที่ 24 สิงหาคม 2026 และเพิ่มโมดูลการยืนยันตัวตนของเบราว์เซอร์พร้อมการทดสอบแบบ end-to-end จำนวน 210 บรรทัดสำหรับโฟลว์ใหม่ ตามข้อมูลจาก GitHub API โดยมีรีลีสที่ติดแท็ก dsh-v0.1.2-alpha.1 ตามมาเมื่อวันที่ 27 สิงหาคม เวลา 17:06 UTC

ยังไม่ได้รับการยืนยัน: ใช้ ทั้งบันทึก CVE คำแนะนำของ VulnCheck และบันทึกการเผยแพร่ของ DeepSeek ไม่ได้อธิบายถึงการถูกใช้ประโยชน์ในสภาพจริง และ NVD บันทึกความสมบูรณ์ของการใช้ประโยชน์ (exploit maturity) ว่าไม่กำหนด แบบจำลอง EPSS ของ FIRST ให้คะแนนช่องโหว่นี้มีความน่าจะเป็น 1.24% ที่จะถูกใช้ประโยชน์ใน 30 วันถัดไป อยู่ที่เปอร์เซ็นไทล์ที่ 68.9 ในฟีดลงวันที่ 27 ตุลาคม 2026 คลังเก็บข้อมูลบันทึกว่าไม่มีอันตรายในโลกจริงสำหรับรายการนี้ และให้ระดับความเชื่อมั่น A เอกสารครบถ้วน โดยแหล่งข้อมูลปฐมภูมิเห็นพ้องกัน

วันที่ ซึ่งรวมถึงรายงานสองฉบับที่มาเป็นอันดับแรก

นักพัฒนาสองคนได้ข้อสรุปเดียวกันก่อนที่จะมี CVE ให้อ้างอิงถึง Hacker News รายงานโพสต์บนกระดานสนทนาของโครงการเองเมื่อวันที่ 13 สิงหาคม 2026 ซึ่งแสดงให้เห็นกระบวนการที่ยังคงถูกจำกัดโดยแซนด์บ็อกซ์สามารถเข้าถึงอินเทอร์เฟซภายในเครื่องและสลับเซสชันเป็น danger-full-access พร้อมเอาต์พุตการทดสอบ และโพสต์ที่สองเมื่อวันที่ 14 สิงหาคมซึ่งระบุรายการคำขอที่อินเทอร์เฟซนั้นยอมรับโดยไม่มีข้อมูลรับรอง โพสต์ที่สองยังสังเกตว่าโครงการไม่มีไฟล์นโยบายความปลอดภัยและไม่มีช่องทางส่วนตัวสำหรับการรายงานช่องโหว่ Hacker News ตรวจสอบเมื่อวันที่ 9 กันยายนและพบว่าไฟล์นโยบายความปลอดภัยยังคงหายไป

ลำดับเหตุการณ์ของ OX Security ระบุว่าบริษัทได้รายงานไปยัง VulnCheck เมื่อวันที่ 24 สิงหาคม 2026 ซึ่งเป็นวันที่เดียวกันกับที่ GitHub บันทึกไว้สำหรับคอมมิตที่แก้ไข ข้อความในคอมมิตไม่ได้กล่าวถึงการรายงานดังกล่าวเลย และคำชี้แจงสาธารณะของ OX Security ตามที่ The Hacker News อธิบายไว้ ก็ไม่ได้กล่าวถึงโพสต์ของชุมชนก่อนหน้านี้เช่นกัน เหตุการณ์ทั้งสองในวันที่ 24 สิงหาคมจะเชื่อมโยงกันหรือไม่นั้น ไม่ใช่สิ่งที่บันทึกสาธารณะระบุไว้ และบทความนี้ไม่ได้ตั้งสมมติฐานเช่นนั้น

ช่องว่างระหว่างการแก้ไขและการเปิดเผยไม่ใช่เรื่องผิดปกติ บันทึกของ Cloud Security Alliance ระบุว่า OX Security ยืนยันการแก้ไขเมื่อวันที่ 30 สิงหาคม ซึ่งเป็นเก้าวันก่อนที่ VulnCheck จะเผยแพร่ CVE

จุดที่การแก้ไขถูกนำไปใช้ และจุดที่ยังไม่ได้นำไปใช้

แท็ก GitHub กับรีจิสทรีแพ็กเกจไม่ได้ขยับไปพร้อมกัน และนั่นคือส่วนที่ควรรู้หากคุณติดตั้งฮาร์เนสตามวิธีที่คำแนะนำของมันบอก แพ็กเกจบรรทัดคำสั่ง @deepseek-ai/dsh เผยแพร่ 0.1.1-rc.2 เมื่อวันที่ 21 สิงหาคม 2026 และจากนั้นก็ไม่มีอะไรเลยจนถึง 0.1.2-alpha.2 ในวันที่ 30 สิงหาคม เวอร์ชัน 0.1.2-alpha.1 ซึ่งเป็นเวอร์ชันที่ CVE ระบุว่าเป็นตัวแก้ไข ไม่ปรากฏอยู่ในรีจิสทรีเลย ดังนั้นรีลีสที่แก้ไขแล้วตัวแรกที่ติดตั้งได้จึงตามหลังตัวแก้ไขไปสามวัน ข้อมูลเมตาของรีจิสทรี npm ถูกอ่านเพื่อประกอบบทความนี้เมื่อวันที่ 28 ตุลาคม 2026; The Hacker News รายงานช่องว่างเดียวกันนี้เมื่อวันที่ 9 กันยายน

บันทึกประจำรุ่นไม่ได้นำเสนอในฐานะรุ่นที่เน้นความปลอดภัย โดยระบุไว้ท่ามกลางการเปลี่ยนแปลงตามปกติว่า อินเทอร์เฟซเว็บ now กำหนดให้ต้องยืนยันตัวตนด้วยโทเคนแบบใช้ครั้งเดียวสำหรับการเข้าถึงผ่านเครือข่าย โดยไม่มีการอ้างอิง CVE และไม่มีประกาศด้านความปลอดภัย และ The Hacker News ไม่พบคำแนะนำด้านความปลอดภัยในรายการคำแนะนำของที่เก็บซอฟต์แวร์เมื่อวันที่ 9 กันยายน กลไกดังกล่าว ตามที่ Cloud Security Alliance อธิบายไว้ คือ ฮาร์เนสจะพิมพ์โทเคนแบบใช้ครั้งเดียวตอนเริ่มต้นระบบ เบราว์เซอร์จะแลกโทเคนนั้นเป็นคุกกี้ที่ลงลายเซ็น และทุกการเรียกที่ตามมาจะต้องส่งคุกกี้ดังกล่าว กล่าวคือ ความไว้วางใจผูกกับความลับที่ออกให้ตอนเริ่มกระบวนการ ไม่ใช่กับแหล่งที่มาบนเครือข่ายที่อ้างขึ้น

บิลด์จากบุคคลที่สามคือส่วนที่ยังค้างคา ตัวห่อเดสก์ท็อปจัดส่งสำเนาของฮาร์เนสของตัวเองมาด้วย ดังนั้นเวอร์ชันที่ผู้ใช้กำลังใช้งานจึงขึ้นอยู่กับการเลือกของผู้ดูแลตัวห่อ The Hacker News พบบิลด์ Windows หนึ่งตัวที่ถูกปักหมุดไว้ที่ 0.1.1-rc.2 ในช่วงปลายเดือนสิงหาคม ซึ่งเปลี่ยนไปใช้ 0.1.3-alpha.1 ที่มีการแก้ไขดังกล่าว ในวันที่ 6 กันยายน

ตัวแซนด์บ็อกซ์เองไม่มีการเปลี่ยนแปลง เมื่ออ่านเอกสารอ้างอิงบรรทัดคำสั่งของ 0.1.2-rc.1 The Hacker News พบข้อความเดียวกันที่ระบุว่าการอ่านและการเข้าถึงเครือข่ายไม่ถูกจำกัด และพบว่าเชลล์ของเอเจนต์ยังคงได้รับที่อยู่ของอินเทอร์เฟซ ไม่มีแหล่งข่าวใดในการรายงานนั้นระบุว่าเอเจนต์ที่ทำงานภายในเวิร์กสเปซของตนยังสามารถได้รับเซสชันที่ถูกต้องภายใต้กลไกใหม่หรือไม่ ซึ่งเป็นคำถามที่เอกสารของแพตช์เองยังคงเปิดไว้

สิ่งที่แหล่งข้อมูลของบันทึกแนะนำ

• ให้ถือว่าการติดตั้งใด ๆ ที่เป็นเวอร์ชัน 0.1.1-rc.2 หรือเก่ากว่าได้รับผลกระทบ ไม่ว่าจะจัดแพ็กเกจมาอย่างไร รวมถึงสำเนาที่ฝังอยู่ในตัวห่อเดสก์ท็อป

• ติดตั้ง 0.1.2-alpha.2 หรือใหม่กว่าจาก npm; เวอร์ชันล่าสุดบน registry ณ วันที่ 27 ตุลาคม 2026 คือ 0.2.2-alpha.2

• หากคุณไม่สามารถอัปเกรดได้ ให้หยุดเว็บอินเทอร์เฟซเมื่อไม่ได้ใช้งาน และลบอุโมงค์ พร็อกซี หรือการส่งต่อพอร์ตใด ๆ ที่เข้าถึงพอร์ต 3080

• ตรวจสอบว่าพอร์ต 3080 สามารถเข้าถึงได้จากที่ใดก็ตามนอกเหนือจาก loopback หรือไม่ รวมถึงการส่งต่อพอร์ตของคอนเทนเนอร์ รีเวิร์สพร็อกซี และ SSH tunnel ด้วย

• บันทึกการยกระดับสิทธิ์และการเปลี่ยนแปลงโหมดการอนุมัติที่ระดับ harness เนื่องจากการโจมตีได้ผลโดยทำให้การยกระดับสิทธิ์ที่ไม่ได้รับอนุญาตดูเหมือนกิจกรรมตามปกติ

ทั้งห้ารายการมาจากบันทึกของ Cloud Security Alliance และการรายงานของ The Hacker News; บันทึก CVE เองไม่มีคำแนะนำในการแก้ไขใด ๆ นอกเหนือจากเวอร์ชันที่ได้รับการแก้ไขแล้ว

ทำไม Cloud Security Alliance จึงตีความว่าเป็นแพตเทิร์น

บันทึกของ Cloud Security Alliance จัดวาง CVE นี้ไว้เคียงข้างความล้มเหลวในการจำกัดขอบเขตการทำงานของเอเจนต์เขียนโค้ดอีกสองกรณีที่ตนบันทึกไว้ในปี 2026 ได้แก่ GuardFall เมื่อวันที่ 1 กรกฎาคม ซึ่งเอเจนต์เขียนโค้ดโอเพนซอร์สยอดนิยมสิบจากสิบเอ็ดตัวสามารถถูกชักจูงให้รันคำสั่งเชลล์ที่กลไกป้องกันของตนถูกสร้างขึ้นมาเพื่อสกัดกั้น และผลการค้นพบเรื่องการส่งต่อความไว้วางใจเมื่อวันที่ 22 กรกฎาคม ซึ่งเอเจนต์ที่ถูกจำกัดขอบเขตได้เขียนไฟล์หนึ่งที่คอมโพเนนต์ที่ได้รับความไว้วางใจซึ่งอยู่นอกแซนด์บ็อกซ์นำไปเรียกใช้ในภายหลัง บันทึกระบุชัดเจนว่าทั้งสามกรณีมาจากงานวิจัยของตนเอง มิใช่จากการสำรวจตลาดอย่างครอบคลุม และยังไม่อาจสรุปได้ว่ารูปแบบนี้จะใช้ได้ทั่วไปกับเอเจนต์นอกเหนือจากที่ตนตรวจสอบหรือไม่ สิ่งที่บันทึกโต้แย้งก็คือ ความล้มเหลวเหล่านี้อยู่ในชั้นที่แตกต่างกัน ได้แก่ กลไกป้องกันคำสั่ง ความไว้วางใจในปลายน้ำ และตอนนี้คือการพิสูจน์ตัวตนของคอนโทรลเพลน และนั่นคือเหตุผลที่แนะนำให้มองสถาปัตยกรรมแซนด์บ็อกซ์เป็นประเด็นด้านการจัดซื้อจัดจ้าง มากกว่าจะเป็นข้อกำหนดที่ถือว่าบรรลุแล้ว

เอกสารด้านความปลอดภัยของ DeepSeek เองไม่ได้ขัดแย้งกับการตีความนั้น SAFETY.md ของรีโพซิทอรีระบุว่าซอฟต์แวร์ "ยังไม่ผ่านการตรวจสอบความปลอดภัย และต้องไม่ถือว่ามีความปลอดภัยหรือพร้อมสำหรับการใช้งานจริง" และการทำงานในแซนด์บ็อกซ์ พร้อมต์การอนุมัติ และการควบคุมสิทธิ์ "ไม่ได้ยืนยันการแยกตัวหรือป้องกันความเสียหาย" ช่องว่างด้านการยืนยันตัวตนที่ทำให้เอเจนต์หลุดออกไปผ่าน control API ได้ถูกปิดแล้วในบิลด์ปัจจุบัน ความไม่สมมาตรที่ทำให้การหลุดออกนั้นสั้น — มีขอบเขตล้อมรอบการเขียน แต่ไม่มีอะไรล้อมรอบเครือข่าย — ยังคงเป็นข้อจำกัดที่ระบุไว้ของแซนด์บ็อกซ์ มากกว่าจะเป็นข้อบกพร่องที่แพตช์ตั้งใจจะแก้ไข