DeepSeek Harnessに重大なサンドボックス回避の脆弱性 — AIエージェントが自身の隔離を1コマンドで無効化、CVE-2026-82533

DeepSeekが提供するオープンソースのAIコーディングエージェント実行基盤「DeepSeek Harness（dsh）」に、サンドボックス内のエージェントが自身の隔離を解除できる重大な脆弱性が見つかった。アプリケーションセキュリティ企業のOX Securityが2026年9月8日に報告した内容で、脆弱性は CVE-2026-82533 として登録されている。OX Securityは出荷時の既定設定のまま、1回のシェルコマンドで再現することを確認した。修正版は 0.1.2-alpha.1 で提供済みだ。

何が起きたのか

OX Securityによると、DeepSeek Harnessはエージェントが実行するコマンドをOSサンドボックス（bubblewrap、Landlock、Seatbeltのいずれか）で隔離する設計だった。しかし、サンドボックスがファイル書き込みを制限する一方で、ループバック（127.0.0.1）へのネットワーク通信は許可していた。さらに、通常の bash ツール呼び出しは承認を必要としなかった。

OX Securityは、サンドボックス内のエージェントが次の1コマンドで自身の隔離を解除できることを実証した。

• ハーネスが 127.0.0.1:3080 で公開していたローカルHTTP APIを curl で呼び出す
• セッションを danger-full-access へ昇格し、承認プロンプトを never に設定する

OX Securityによると、この操作に承認イベントは発生せず、ログ上も「source: {kind: ‘user’}」として記録されるため、ハーネスはエージェント自身のシェルと人間の操作を区別できなかった。昇格後は以降のすべてのコマンドが隔離なし・無承認で実行される状態になった。OX Securityは、同一ホストで同一コマンドを比較したところ、昇格前のサンドボックスでは /home/ubuntu への書き込みが拒否されたのに対し、昇格後は成功したことを確認している。

OX Securityは、ポートがトンネルやリバースプロキシ、SSH転送などでネットワークに露出した場合は、認証なしのリモート攻撃者がエージェントを直接操作し、保存された会話をAPIキーなしで取得できる別の攻撃経路も確認した。

技術的な原因 — Hostヘッダだけに依存した信頼判定

OX Securityは脆弱性の根本原因を、ローカルAPIの信頼判定関数 isTrustedApiRequest にあると分析している。同関数はリクエストの Host ヘッダの値がループバックか、設定された trustedHosts に含まれる場合に信頼すると判定していたが、接続の実際のピアアドレスを一切検証していなかった。

OX Securityによると、この実装はブラウザからのDNSリバインディング攻撃の防止には機能した。ブラウザは Host を偽れないためだ。しかし、ブラウザの制約を受けないクライアントは任意の Host 値を送信できる。OX Securityは、同一リクエストで Host ヘッダだけを変えた2つのリクエストで挙動が変わることを示し、「正規のループバックとループバックを名乗るクライアントを区別できなかった」と指摘している。

サンドボックス側の設定も逃走を助長した。公開されたプロファイルによると、bubblewrapは --unshare-pid を使う一方で --unshare-net を使っておらず、ネットワーク名前空間はホストと共有されていた。Seatbeltプロファイルは (allow default) に (deny file-write*) を重ねる構成で、ファイル書き込み以外は許可されていた。OX Securityは、この2条件が組み合わさって逃走経路が生まれたと説明している。

影響範囲と修正状況

OX Securityが示した影響範囲とタイムラインは次のとおりだ。

• 影響を受けるバージョン: DeepSeek Harness 0.1.1-rc.2 以前
• 修正バージョン: 0.1.2-alpha.1 以降
• CVSS: 9.4（CVSS:4.0 / AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H）
• CWE: CWE-807（セキュリティ判断における信頼できない入力への依存）

日付	出来事
2026年8月24日	OX Securityが実行で脆弱性を確認し、CNAのVulnCheckへ報告
2026年8月27日	DeepSeek Harness 0.1.2-alpha.1で修正がリリース
2026年8月30日	OX Securityが修正版で解消を確認
2026年9月8日	CVE-2026-82533として公開

OX Securityは、DeepSeek Harnessが2026年8月に公開後、数週間でGitHubで215,000以上のスターを獲得したことにも触れ、開発者のワークステーション権限（SSH鍵、クラウド認証情報、パッケージレジストリなど）にアクセスしうるハーネスが標的として価値が高いと指摘している。

OX Securityが推奨する対応

OX Securityは、影響を受けるバージョンを利用している場合、DeepSeek Harnessを0.1.2-alpha.1以降へ更新することを推奨している。OX Securityが公表した内容に基づく対応のポイントは次のとおりだ。

• OX Securityは、修正版への更新を推奨している
• OX Securityは、ローカルAPIがループバックで無認証のまま公開される構成に注意を促している。ポートをネットワークに露出させるトンネルやプロキシの有無を点検することが重要だ

開発組織では、DeepSeek Harnessを利用している端末のバージョンを確認し、修正版への更新を優先することが求められる。OX Securityの検証によると、修正版では同手法によるサンドボックス回避は再現しない。

出典

• OX Security, “CVE-2026-82533: DeepSeek Harness Vulnerability Lets AI Agents Escape Their Own Sandbox” https://www.ox.security/blog/cve-2026-82533-deepseek-harness-ai-agent-sandbox-escape/