Lo que encontró OX
Un agente de programación que se ejecutaba dentro del sandbox de DeepSeek Harness podía desactivar ese sandbox con un único comando curl, según reveló OX Security el 8 de septiembre. El fallo, CVE-2026-82533, tiene una puntuación CVSS 4.0 de 9,4 y afecta a DeepSeek Harness 0.1.1-rc.2 y versiones anteriores.
DeepSeek Harness, o dsh, es la herramienta de código abierto de DeepSeek para ejecutar agentes de programación con IA en el propio equipo del desarrollador. Combina una interfaz de navegador con una API HTTP local en 127.0.0.1:3080 y, según OX, superó las 215.000 estrellas en GitHub a las pocas semanas de su lanzamiento en agosto. El error lo descubrieron los investigadores de OX Nir Zadok y Moshe Siman Tov Bustan.
Una cabecera en lugar de una contraseña
La API no tenía una autenticación real. Una función llamada isTrustedApiRequest leía la cabecera Host de cada petición y la dejaba pasar si el valor indicaba una dirección de loopback, pero nunca comparaba ese valor con la dirección real del otro extremo de la conexión. The Hacker News informa de que un comentario en el propio código describía la comprobación como algo que no era una capa de autenticación.
Eso habría importado menos si el agente no pudiera llegar a la API. Podía. El sandbox restringía la escritura de archivos pero dejaba abierta la red de loopback, y las llamadas normales a la herramienta bash no requerían la aprobación del usuario. Además, el agente recibía automáticamente la dirección de la interfaz y su propio identificador de sesión, según The Hacker News, así que no había nada que averiguar. Un solo comando curl desde dentro del sandbox ponía la sesión del agente en «danger-full-access» con la aprobación fijada en «never»: sin sandbox y sin avisos, con la configuración por defecto. OX afirma que después el agente escribió archivos fuera de su espacio de trabajo.
Cuando el puerto sale del portátil
El segundo escenario es remoto. Si el puerto 3080 era accesible a través de un túnel, un proxy inverso, un reenvío SSH o el reenvío de puertos de un editor, un atacante sin autenticar podía controlar el agente directamente y descargar todas las conversaciones guardadas, sin clave de API ni llamada a un modelo, según OX. Los desarrolladores reenvían puertos a menudo para trabajar en una máquina remota desde un portátil. La herramienta daba el tráfico por local porque una cabecera lo decía.
La corrección y qué versión instalar
OX comunicó el fallo a VulnCheck, que actúa como autoridad de numeración CVE, el 24 de agosto. DeepSeek subió una corrección a GitHub el 27 de agosto en la versión 0.1.2-alpha.1, OX volvió a probarla y la confirmó el 30 de agosto, y el CVE se publicó el 8 de septiembre. El parche añade autenticación con un token de un solo uso: el navegador cambia el token por una cookie firmada y cada llamada a la API exige esa cookie.
OX recomienda actualizar a la 0.1.2-alpha.1 o posterior. Hay un matiz para quien use npm. The Hacker News comprobó que la 0.1.2-alpha.1 nunca se publicó en npm; la primera versión corregida en npm fue la 0.1.2-alpha.2, el 30 de agosto, y la actual es la 0.1.2-rc.1, publicada el 3 de septiembre. Quien haya instalado con npm debe confirmar que tiene una de esas dos.
Una divulgación discreta
Las notas de versión de DeepSeek describían el cambio como la retirada de un transporte antiguo y la exigencia de autenticación con token de un solo uso, sin aviso de seguridad ni mención del CVE, según The Hacker News, que tampoco encontró un aviso de seguridad ni una política de seguridad en el repositorio. El mismo medio señala que desarrolladores de la comunidad ya habían planteado la fuga y la interfaz sin autenticar en los foros de discusión del proyecto en GitHub el 13 y el 14 de agosto, más de una semana antes del informe de OX, aunque sin una comunicación formal.
El propio aviso de seguridad de la herramienta ya advierte de que su sandbox no garantiza el aislamiento, y el sandbox nunca limitó la lectura de archivos ni el acceso a la red. DevOps.com enmarcó el caso en una tendencia más amplia: las capacidades de los agentes avanzan más deprisa que los controles pensados para contenerlos.
Qué vigilar
Un sandbox que bloquea la escritura pero deja accesible localhost es tan fuerte como el servicio más débil que escuche en localhost. Queda por ver si DeepSeek publica un aviso de seguridad y una política de divulgación para el proyecto, y si una versión posterior extiende el sandbox al acceso a la red.
