何が起きたか
ローカルコントロールプレーンは認証されていないため、ホスト上の任意のプロセス（別のOSユーザーを含む）がセッションを作成し、プロンプトを送信し、ライブイベントストリームを読み取り、ゲートされていないストリームでブロードキャストされた識別子を再生することでツール呼び出しを承認できます。エージェントにはbashおよびファイルシステムツールがあるため、ローカル攻撃者は、設定されたモデル資格情報を使用して被害者ユーザーとして任意のコマンド実行を達成できます。
なぜ重要か
エージェントハーネスは広範なツール権限と保存されたAPI資格情報で実行されます。認証されていないローカルRPCプレーンは、任意の同一テナントプロセスが開発者のエージェントをハイジャックし、シェル/ファイルツールを実行し、モデルトラフィックを読み取ることを可能にします。これは、AIエージェントが実行される共有/CIマシン上での封じ込め失敗です。
攻撃経路
Webプロファイルは、認証なしでHTTPおよびWebSocket RPC（session.create、session.prompt）を公開します。ローカル攻撃者はsession.promptを呼び出して、被害者ユーザーとしてモデル資格情報を使用してエージェントのbashおよびファイルシステムツールをトリガーし、ゲートされていないイベントmuxストリームを介してライブセッショントラフィック/ログを傍受し、POST /api/respondを介してブロードキャストされたrpcId/approvalId/sessionId値のみを照合することで人間のツール承認チェックをバイパスします。
影響を受けるシステム
DeepSeek Harness < 0.1.2-alpha.2（およびコミット3e24087）
緩和策
DeepSeek Harness >=0.1.2-alpha.2にアップグレードしてください。修正コミットおよびリリースタグdsh-v0.1.2-alpha.2を参照してください。