Lỗ hổng nghiêm trọng trong DeepSeek Harness cho phép AI tự vô hiệu hóa sandbox

Một lỗ hổng bảo mật nghiêm trọng đã được phát hiện trong DeepSeek Harness, công cụ mã nguồn mở được sử dụng để vận hành các AI coding agent trên máy tính cá nhân. Lỗ hổng này cho phép một agent đang chạy trong môi trường sandbox có thể tự vô hiệu hóa lớp bảo vệ này chỉ bằng một câu lệnh duy nhất.

Chi tiết về lỗ hổng CVE-2026-82533

Về cơ bản, DeepSeek Harness được thiết kế để cô lập các lệnh của AI trong một sandbox hệ điều hành, ngăn chặn việc agent truy cập hoặc ghi dữ liệu vào các tệp tin ngoài không gian làm việc (workspace). Tuy nhiên, các nhà nghiên cứu từ OX Research đã phát hiện ra rằng, agent có thể gọi trực tiếp giao diện web nội bộ của công cụ này trên cùng một máy tính để chuyển phiên làm việc sang chế độ danger-full-access. Hành động này ngay lập tức tắt bỏ sandbox và dừng mọi yêu cầu phê duyệt lệnh từ người dùng.

Lỗ hổng này được định danh là CVE-2026-82533 với mức điểm nguy hiểm lên tới 9.4/10. Nguyên nhân gốc rễ nằm ở việc giao diện điều khiển nội bộ của công cụ không có cơ chế xác thực. Hệ thống kiểm tra quyền truy cập trước đây chỉ dựa vào tiêu đề Host do client cung cấp, vốn là một cơ chế không an toàn và dễ bị bypass.

Nguy cơ tiềm ẩn

Ngoài việc thoát khỏi sandbox, kẻ tấn công có thể lợi dụng giao diện này để trích xuất toàn bộ nhật ký (log) các phiên làm việc của AI mà không cần bất kỳ khóa xác thực nào. Điều này gây rủi ro lớn vì các coding agent thường sở hữu quyền truy cập shell dưới tài khoản của người dùng đang vận hành công cụ.

Cách khắc phục và khuyến nghị

DeepSeek đã phát hành bản vá cho vấn đề này. Người dùng cần lưu ý các bước sau:

Cập nhật phiên bản: Hãy đảm bảo bạn đang sử dụng phiên bản 0.1.2-rc.1 hoặc mới hơn (được phát hành trên npm). Lưu ý rằng các phiên bản từ 0.1.1-rc.2 trở về trước đều bị ảnh hưởng.
Kiểm tra phần mềm bên thứ ba: Nếu bạn cài đặt thông qua các ứng dụng desktop wrapper, hãy kiểm tra kỹ phiên bản Harness mà ứng dụng đó tích hợp.
Biện pháp tạm thời: Nếu chưa thể nâng cấp ngay, hãy tắt giao diện web khi không sử dụng và loại bỏ mọi cấu hình tunnel, proxy hoặc port forward có thể dẫn đến giao diện này.

Bản vá mới nhất đã bổ sung cơ chế xác thực bằng token dùng một lần (one-time token) và cookie ký số, giúp ngăn chặn các truy cập trái phép vào giao diện điều khiển. Mặc dù vậy, các chuyên gia vẫn khuyến cáo người dùng không nên coi công cụ này là biện pháp bảo mật duy nhất khi làm việc với các tệp tin hoặc mã nguồn không tin cậy.

Nguồn tham khảo: The Hacker News