Vad OX hittade
En kodagent som kördes i DeepSeek Harness sandlåda kunde stänga av sandlådan med ett enda curl-kommando, avslöjade OX Security den 8 september. Sårbarheten, CVE-2026-82533, har CVSS 4.0-poängen 9,4 och gäller DeepSeek Harness 0.1.1-rc.2 och tidigare versioner.
DeepSeek Harness, eller dsh, är DeepSeeks verktyg med öppen källkod för att köra AI-kodagenter på utvecklarens egen dator. Det kombinerar ett webbgränssnitt med ett lokalt HTTP-API på 127.0.0.1:3080 och passerade enligt OX 215 000 stjärnor på GitHub inom några veckor efter lanseringen i augusti. Felet hittades av OX-forskarna Nir Zadok och Moshe Siman Tov Bustan.
Ett huvudfält i stället för ett lösenord
API:et saknade riktig autentisering. En funktion vid namn isTrustedApiRequest läste Host-fältet i varje förfrågan och släppte igenom den om värdet angav en loopback-adress, men jämförde aldrig värdet med anslutningens faktiska motpartsadress. The Hacker News rapporterar att en kommentar i själva koden beskrev kontrollen som något som inte var ett autentiseringslager.
Det hade spelat mindre roll om agenten inte kunnat nå API:et. Det kunde den. Sandlådan begränsade filskrivning men lämnade loopback-nätverket öppet, och vanliga anrop till verktyget bash krävde inget godkännande från användaren. Agenten fick dessutom gränssnittets adress och sitt eget sessions-id automatiskt, enligt The Hacker News, så det fanns inget att leta fram. Ett enda curl-kommando inifrån sandlådan satte agentens session till ”danger-full-access” med godkännande inställt på ”never”: ingen sandlåda och inga frågor, med standardinställningarna. Enligt OX skrev agenten sedan filer utanför sin arbetsyta.
När porten lämnar datorn
Det andra scenariot är på distans. Om port 3080 gick att nå via en tunnel, en omvänd proxy, en SSH-vidarebefordran eller en editors portvidarebefordran kunde en oautentiserad angripare styra agenten direkt och ladda ner alla sparade konversationer, utan API-nyckel och utan modellanrop, enligt OX. Utvecklare vidarebefordrar portar rutinmässigt för att arbeta på en fjärrdator från sin bärbara. Verktyget antog att trafiken var lokal eftersom ett huvudfält sa det.
Rättningen, och vilken version som gäller
OX rapporterade sårbarheten till VulnCheck, som fungerar som CVE-utfärdare, den 24 augusti. DeepSeek lade ut en rättning på GitHub den 27 augusti i version 0.1.2-alpha.1, OX testade om och bekräftade den den 30 augusti, och CVE:n publicerades den 8 september. Patchen inför autentisering med engångstoken: webbläsaren byter token mot en signerad cookie, och varje anrop till API:et kräver den cookien.
OX råd är att uppgradera till 0.1.2-alpha.1 eller senare. För npm-användare finns en hake. The Hacker News konstaterade att 0.1.2-alpha.1 aldrig publicerades på npm; den första rättade versionen där var 0.1.2-alpha.2 den 30 augusti, och den aktuella är 0.1.2-rc.1, publicerad den 3 september. Den som installerat via npm bör kontrollera att den har någon av dem.
En tyst rättning
DeepSeeks versionsanteckningar beskrev ändringen som att en gammal transport tagits bort och att autentisering med engångstoken krävs, utan säkerhetsmeddelande och utan att nämna CVE:n, enligt The Hacker News, som inte heller hittade någon säkerhetsvarning eller säkerhetspolicy i kodförrådet. Enligt samma rapport hade utvecklare i communityn redan tagit upp utbrytningen och det oautentiserade gränssnittet i projektets diskussioner på GitHub den 13 och 14 augusti, mer än en vecka före OX rapport, men utan någon formell anmälan.
Verktygets egen säkerhetstext varnar redan för att sandlådan inte garanterar isolering, och sandlådan begränsade aldrig filläsning eller nätverksåtkomst. DevOps.com beskrev fallet som en del av ett bredare mönster där agenternas förmågor växer snabbare än de kontroller som ska hålla dem i schack.
Att hålla koll på
En sandlåda som blockerar skrivning men lämnar localhost nåbart är aldrig starkare än den svagaste tjänst som lyssnar på localhost. Det som återstår att se är om DeepSeek publicerar en säkerhetsvarning och en policy för sårbarhetsrapporter, och om en senare version utsträcker sandlådan till nätverksåtkomst.
