무슨 일이 있었나
로컬 제어 평면은 인증이 없으므로, 호스트의 모든 프로세스 — 다른 OS 사용자 포함 — 세션을 생성하고, 프롬프트를 보내고, 라이브 이벤트 스트림을 읽고, 게이트 없는 스트림에서 브로드캐스트된 식별자를 재생하여 도구 호출을 승인할 수 있습니다. 에이전트가 bash 및 파일시스템 도구를 갖고 있기 때문에, 로컬 공격자는 피해자 사용자로 구성된 모델 자격 증명을 사용하여 임의 명령 실행을 달성합니다.
왜 중요한가
에이전트 하네스는 광범위한 도구 권한과 저장된 API 자격 증명으로 실행됩니다. 인증 없는 로컬 RPC 평면은 모든 공동 테넌트 프로세스가 개발자의 에이전트를 하이재킹하고, 셸/파일 도구를 실행하고, 모델 트래픽을 읽을 수 있음을 의미합니다 — AI 에이전트가 실행되는 공유/CI 머신에서의 격리 실패입니다.
공격 경로
웹 프로필은 인증 없이 HTTP 및 WebSocket RPC(session.create, session.prompt)를 노출합니다. 로컬 공격자는 session.prompt를 호출하여 피해자 사용자로 에이전트의 bash 및 파일시스템 도구를 트리거하고, 게이트 없는 이벤트 mux 스트림을 통해 라이브 세션 트래픽/로그를 가로채며, 브로드캐스트된 rpcId/approvalId/sessionId 값만 일치시켜 POST /api/respond를 통해 인간 도구 승인 검사를 우회합니다.
영향받는 시스템
DeepSeek Harness < 0.1.2-alpha.2 (및 커밋 3e24087)
완화 방안
DeepSeek Harness >=0.1.2-alpha.2로 업그레이드; 수정 커밋 및 릴리스 태그 dsh-v0.1.2-alpha.2 참조.