何が起きたか
VulnCheckにより2026-10-12に公開（CVSS 6.1 v3.1 スコープ変更、CWE-59）。extractTarballLocallyのリンク追従の欠陥により、サンドボックス化されたコードが結果のtarballにリンクを仕掛けることで、サンドボックス外のファイルに書き込むことができる。NVD REST APIで検証済み。
なぜ重要か
防御側がプロンプトインジェクションされたエージェントを封じ込めるために依存するまさにその層における別のサンドボックス境界の欠陥——Vercelは広く使用されているプラットフォームであり、そのdeepsecサンドボックスはセキュリティ境界である。リンク追従の書き込みプリミティブは分離を弱体化し、サンドボックス化されたコードからのホストファイル改ざんを可能にする。
攻撃経路
攻撃者制御のサンドボックスコードは、結果のtarball内にシンボリック/ハードリンクを仕掛ける。extractTarballLocallyは抽出時にリンクを追従し、オーケストレーターホスト上のサンドボックス外のファイルに書き込む。
影響を受けるシステム
Vercel deepsec 0.1.0 – 1.1.17未満（AI/エージェントコード実行用npmサンドボックス）
緩和策
deepsecを>= 1.1.17にアップグレードしてください（修正：コミットc5a4e422、PR #46/#47）。