Menu

DeepSeek Harness : l’agent sandboxé qui éteint lui-même son bac à sable, en une commande

Catégories

Tags

🔍 Licence d'Utilisation 🔍

Sauf mention contraire, le contenu de ce blog est sous licence CC BY-NC-ND 4.0.

© 2025 à 2042 Sébastien Gioria. Tous droits réservés.

⏱️
Temps de lecture estimé
2 min de lecture
⏱️
Temps de lecture estimé
~7 minutes

OX Research a montré qu’un agent confiné par DeepSeek Harness pouvait appeler l’API de contrôle locale de l’outil et basculer sa propre session en « danger-full-access », approbations désactivées. Une commande, aucune exposition réseau, CVSS 9,4. Le contrôle se trouvait dans le périmètre de celui qu’il devait contrôler.

Une cellule dont la poignée est à l’intérieur

Un bac à sable dont on peut sortir, c’est une cellule avec la poignée côté détenu. Joli décor, zéro enfermement.

C’est pourtant ce qu’OX Research a documenté dans DeepSeek Harness, le harnais open source qui fait tourner des agents de codage sur la machine du développeur (plus de 216 000 étoiles GitHub au 9 septembre !). L’agent est confiné, il ne doit écrire que dans son espace de travail, et chaque commande qui sort du cadre déclenche une demande d’approbation. Sauf qu’une seule commande shell, exécutée par l’agent lui-même, suffisait à tout lever. VulnCheck a attribué le CVE-2026-82533 et un score CVSS de 9,4.

Note du PandaRedacteur : Le mécanisme n’a rien d’une prouesse, c’est la même erreur de conception que dans les évaluations d’agents qui s’échappent, dans GitSpawn et dans une bonne partie des incidents de l’état de l’art des harnais.

Dans la version complète, je déroule les trois défauts qui se sont alignés, le rôle de la prompt injection, la chronologie de la divulgation, l’analyse STRIDE, l’impact et les mitigations.

📬 Analyse complète : gratuite pour les abonnés Substack
Cette analyse part d'abord aux abonnés de ma newsletter Substack, où elle est gratuite pour les abonnés. Elle sera publiée intégralement ici ensuite.

Au Menu de la version abonnés, vous retrouvez la suite :
  • les trois défauts alignés (API sans authentification, contrôle d'accès, bac à sable) et le diagramme de l'attaque ;
  • le rôle de la prompt injection, qui transforme un défaut local en risque réel ;
  • la chronologie complète de la divulgation, du signalement sur GitHub au correctif npm ;
  • l'analyse STRIDE, le tableau d'impact et les mitigations concrètes ;
  • et la sketchnote du PandaRedacteur résumant tout cela en anglais.

📚 Quelques références pour aller plus loin

À retenir 📌

  • ✓ CVE-2026-82533, CVSS 9,4 : un agent sandboxé de DeepSeek Harness pouvait basculer sa session en danger-full-access avec un seul curl vers l'API locale.
  • ✓ Trois défauts alignés : API sans authentification, contrôle d'accès fondé sur l'en-tête Host, profil bubblewrap sans --unshare-net.
  • ✓ Le journal accuse l'utilisateur : le harnais ne distinguait pas le shell de l'agent du clavier de l'humain.
  • ✓ Mettre à jour vers la 0.1.2-alpha.2 ou plus sur npm, couper l'interface web inutile, isoler le réseau de l'agent.
  • ✓ Un contrôle atteignable par ce qu'il contrôle n'en est pas un : le plan de contrôle sort du périmètre de l'agent, avec un secret que l'agent ne reçoit jamais.
📬 Analyse complète : gratuite pour les abonnés Substack
Vous avez lu le début. La suite est gratuite pour les abonnés Substack : un compte suffit pour la lire dès maintenant.
LinkedIn Reddit Substack