事件经过
本地控制平面未认证，因此主机上的任何进程——包括其他操作系统用户——可以创建会话、发送提示、读取实时事件流，并通过重放在无门控流上广播的标识符来批准工具调用。由于智能体具有bash和文件系统工具，本地攻击者可以受害者用户身份及其配置的模型凭据实现任意命令执行。
影响分析
智能体框架具有广泛工具权限和存储的API凭据。缺少认证的本地RPC平面意味着任何同租户进程可以劫持开发者的智能体、运行shell/文件工具并读取模型流量——这是在共享/CI机器上运行AI智能体的包含失败。
攻击途径
Web配置文件暴露了未经认证的HTTP和WebSocket RPC（session.create、session.prompt）。本地攻击者调用session.prompt来触发智能体的bash和文件系统工具，以受害者用户身份及其模型凭据执行，通过无门控事件mux流拦截实时会话流量/日志，并通过匹配仅广播的rpcId/approvalId/sessionId值经由POST /api/respond绕过人工工具批准检查。
受影响系统
DeepSeek Harness < 0.1.2-alpha.2（以及提交3e24087）
缓解措施
升级到DeepSeek Harness >=0.1.2-alpha.2；参见修复提交和发布标签dsh-v0.1.2-alpha.2。