Un agente di coding confinato nella sandbox di DeepSeek Harness poteva disattivare il proprio confinamento con un singolo comando shell, sull'installazione di default, senza credenziali e senza alcuna esposizione di rete. OX Research ha scoperto la falla e il 24 agosto ha aperto la segnalazione presso VulnCheck, che ha assegnato l'identificativo CVE-2026-82533 e ne ha pubblicato il record l'8 settembre con un punteggio di 9,4 su 10. La correzione esiste da fine agosto, ma la versione indicata come risolutiva non � mai arrivata sul registro npm.
DeepSeek Harness (dsh) � l'harness open source di DeepSeek per far girare agenti di coding sulla macchina dello sviluppatore: presenta una interfaccia da browser appoggiata a una API HTTP locale su 127.0.0.1:3080. Uscito ad agosto 2026, ha superato le 215.000 stelle su GitHub in poche settimane. Un harness di questo tipo tiene una shell, ed � questo a renderlo insieme utile e appetibile: legge e scrive alberi di sorgenti, lancia comandi di build e di test, e opera con l'autorit� dell'utente che lo ha avviato, chiavi SSH, credenziali cloud e registri di pacchetti compresi.
La sandbox del sistema operativo esiste proprio per limitare quell'autorit� quando l'agente lavora su materiale di cui non deve fidarsi, e la falla � stata individuata nel perimetro che tracciava: confinava le scritture su file e lasciava aperta la rete locale, dove lo strumento teneva la propria API di controllo senza alcuna autenticazione. L'unica precondizione dell'attacco era che l'agente eseguisse un comando indotto da testo fornito dall'attaccante, il materiale non fidato che la sandbox deve contenere. Non servivano modifiche alla configurazione, porte aperte verso l'esterno o chiavi di alcun tipo.
