Apa yang terjadi
Bidang kontrol lokal tidak memiliki autentikasi, sehingga proses apa pun di host — termasuk pengguna OS lain — dapat membuat sesi, mengirim prompt, membaca aliran peristiwa langsung, dan menyetujui panggilan alat dengan memutar ulang pengidentifikasi yang disiarkan pada aliran tanpa gerbang. Karena agen memiliki alat bash dan sistem file, penyerang lokal mencapai eksekusi perintah arbitrer sebagai pengguna korban dengan kredensial model yang dikonfigurasi.
Mengapa penting
Kerangka kerja agen berjalan dengan izin alat yang luas dan kredensial API yang tersimpan. Bidang kontrol RPC lokal tanpa autentikasi berarti proses penyewa bersama mana pun dapat membajak agen pengembang, menjalankan alat shell/file, dan membaca lalu lintas model — kegagalan pengendalian di mesin bersama/CI tempat agen AI berjalan.
Vektor serangan
Profil web mengekspos HTTP dan WebSocket RPC (session.create, session.prompt) tanpa autentikasi. Penyerang lokal memanggil session.prompt untuk memicu alat bash dan sistem file agen sebagai pengguna korban dengan kredensial model mereka, mencegat lalu lintas/log sesi langsung melalui aliran event mux tanpa gerbang, dan melewati pemeriksaan persetujuan alat manusia melalui POST /api/respond dengan hanya mencocokkan nilai rpcId/approvalId/sessionId yang disiarkan.
Sistem yang terdampak
DeepSeek Harness < 0.1.2-alpha.2 (dan commit 3e24087)
Mitigasi
Tingkatkan ke DeepSeek Harness >=0.1.2-alpha.2; lihat commit perbaikan dan tag rilis dsh-v0.1.2-alpha.2.