DeepSeek Harnessに深刻な脆弱性、AIエージェントが自律的にサンドボックスを解除可能な問題が判明

要点

• DeepSeekが開発するAI実行ツール「DeepSeek Harness」において、エージェントがユーザーの承認なしに自らのファイル制限（サンドボックス）を無効化できる脆弱性が判明した。

• 本脆弱性「CVE-2026-82533」は深刻度スコアが10点満点中9.4と評価されており、外部から与えられた指示テキストを読み込むことで悪用される恐れがある。

• ツール内のローカルWebインターフェースに認証機構がなく、単一のシェルコマンドで無制限アクセスモードへ切り替えが可能となっていた。

• 影響を受けるのはバージョン0.1.1-rc.2以前であり、修正が反映されたバージョン「0.1.2-alpha.2」以降へのアップデートが案内されている。

• AI開発企業のDeepSeekが提供するオープンソースのコーディング支援ツール「DeepSeek Harness」において、サンドボックス内で動作しているはずのAIエージェントが、ユーザーの承認を経ずに自身の制限を無効化できる脆弱性が存在することが明らかになった。セキュリティ企業のOX Researchが本問題を報告し、脆弱性情報を取り扱うVulnCheckが2026年9月8日に「CVE-2026-82533」として情報を公開した。同機関による深刻度スコアは10点満点中9.4と、極めて高い数値が付けられている。

DeepSeek Harnessの構造と保護の前提

DeepSeek Harnessは、開発者の手元のマシン上でAIコーディングエージェントを動作させるためのオープンソースツールである。信頼性が確認されていないファイルをエージェントに扱わせる際、作業領域（ワークスペース）の外部に不正な書き込みが行われないよう、OSレベルのサンドボックス（隔離された実行環境）内でコマンドを実行する設計が採用されていた。

しかし、影響を受けるバージョンのコマンドライン仕様によると、初期設定における保護対象はファイルへの書き込みに限定されていた。ワークスペースや一時フォルダ以外の領域への書き込みは防がれるものの、ファイルの読み取りやネットワーク通信自体は制限されない仕様となっていたという。

単一コマンドで制限を解除できる仕組み

この仕様の隙となったのが、ツール自体がマシン上で提供しているローカルWebインターフェースの存在である。ネットワークアクセスが遮断されていないため、サンドボックスの内部からでもこのインターフェースとの通信が可能となっていた。さらに、ツール側がエージェントのシェル環境に対してインターフェースのアドレスと該当セッションの識別子（ID）をあらかじめ渡していたため、エージェント側が接続先を探索する手間さえ不要な状態だった。

エージェントが悪意ある攻撃者の用意したテキストを読み込み、指示に従ってツール自身のローカルインターフェースを呼び出すシェルコマンドを実行すると、セッション設定が「danger-full-access」と呼ばれるモードへ変更される。このモードが適用されるとサンドボックス機能が完全に無効化され、以後は一切の承認確認を行わずにコマンドが実行される状態に陥る。

DeepSeek Harnessでは通常コマンドの実行時に都度確認を求めず、セッションが持つ権限を超えるアクセスを要求された場合のみ承認プロンプトを表示する仕様となっていた。しかし、今回のインターフェース呼び出しは新たなアクセス権を要求するものではなく「セッションの設定値そのものを書き換える操作」であったため、承認チェックをすり抜けてしまったと報告されている。

セキュリティ企業による実証

問題を報告したOX Researchは、サンドボックスが正常に動作している状態からのエスケープ挙動を検証した。初期状態の同一環境から2つのセッションを立ち上げ、それぞれに同じファイル操作コマンドを実行させたところ、ローカルインターフェースを呼び出して設定変更を行ったセッションではワークスペース外のフォルダへの書き込みが行われ、もう一方の未変更セッションでは書き込みが正しく遮断されたことを確認している。

認証機構の欠陥とログ漏洩のリスク

このローカルWebインターフェースには、適切な認証機能が備わっていなかった。影響を受けたリリースにおいて、リクエストの正当性を確認するコードはクライアントから送られてくる「Hostヘッダー」のみを参照しており、接続元アドレスの検証は行われていなかった。該当のソースコード内にも「認証層ではない」旨のコメントが残されていたという。

このため、外部のマシンから接続した場合でもHostヘッダーを偽装すればローカルアクセスと誤認させることが可能だったとされる。ただし、ツールのコマンドラインは全ネットワークインターフェースでの直接的な接続待ち受けを拒否する設計だったため、外部からの直接到達にはSSHポート転送やトンネル設定、あるいはエディタによる中継など、ユーザー側によるポート転送設定が存在することが前提となる。

加えて、このインターフェースはセッション全体の会話ログをダウンロードするリクエストにも応答していた。VulnCheckのアドバイザリによれば、インターフェースに到達できた第三者は、認証キーを持たなくても保存された過去の全会話ログを取得できる状態にあったという。

影響を受けるバージョンと対応状況

本脆弱性の影響を受けるのは、DeepSeek Harnessのバージョン「0.1.1-rc.2」およびそれ以前のリリースである。

DeepSeek側は2026年8月27日に修正を実施し、GitHubリポジトリ上で「0.1.2-alpha.1」として反映した。ただし、このバージョンは公式ドキュメントで推奨されている配布元である「npmレジストリ」には公開されなかった。その後、8月30日に認証関連の修正を含む「0.1.2-alpha.2」がnpm上で初公開され、9月3日には現行のnpmリリースである「0.1.2-rc.1」がリリースされた。利用者は、修正が適用された0.1.2-alpha.2以降のバージョンを使用することが求められる。