AI agent běží v sandboxu, takže je bezpečný. Nebo ne?
Právě na tuto otázku upozorňuje zranitelnost CVE-2026-82533 v nástroji DeepSeek Harness. Bezpečnostní výzkumníci zjistili, že AI agent spuštěný v omezeném prostředí dokázal prostřednictvím lokálního API změnit vlastní oprávnění a přepnout se do režimu danger-full-access. Tím se původní bezpečnostní omezení sandboxu prakticky odstranilo. Na celé věci je přitom zajímavé především to, že nejde o klasickou situaci, kdy útočník nejprve získá přístup k serveru a následně začne hledat cestu k vyšším oprávněním. Problém vzniká přímo uvnitř prostředí AI agenta. Agent má přístup k shellu, sandbox mu omezuje práci se soubory, ale současně mu zůstává možnost komunikovat s lokální službou. Právě kombinace těchto vlastností nakonec umožnila bezpečnostní omezení obejít.
Co je DeepSeek Harness?
DeepSeek Harness, známý také jako dsh, je open-source nástroj společnosti DeepSeek určený pro provoz AI coding agentů. Agent díky němu není omezen pouze na generování textu nebo zdrojového kódu. Může skutečně pracovat v prostředí počítače, číst a upravovat soubory, spouštět příkazy a využívat další nástroje potřebné při vývoji softwaru. To je samozřejmě důvod, proč je podobný nástroj užitečný. Současně je to ale také důvod, proč představuje zajímavý bezpečnostní cíl. Agent spuštěný pod účtem vývojáře totiž může v závislosti na konfiguraci získat přístup ke zdrojovým kódům, SSH klíčům, cloudovým přihlašovacím údajům nebo dalším systémům dostupným z daného počítače. DeepSeek Harness proto používá operační sandbox, jehož úkolem je tuto pravomoc omezit. Podle analýzy OX Research využívá Harness na různých platformách mechanismy jako bubblewrap, Landlock nebo Seatbelt. Smyslem je vytvořit hranici, za kterou se agent při běžném provozu nedostane. Jenže právě tato hranice měla v určité verzi zásadní nedostatek.
Problém byl v lokálním API
DeepSeek Harness poskytuje lokální HTTP API, které slouží k ovládání běžících session. Samotná existence takového rozhraní samozřejmě není problém. Potíž byla ve způsobu, jakým aplikace ověřovala, zda požadavek přichází z důvěryhodného zdroje. Harness se totiž při tomto rozhodování spoléhal na HTTP hlavičku Host. To je důležitý detail. Hodnota této hlavičky totiž není kryptografickým důkazem původu spojení. Je součástí HTTP požadavku a klient ji může sám nastavit. Bezpečnostní kontrola tak v podstatě fungovala na principu, že pokud požadavek tvrdí, že přichází z důvěryhodného místa, aplikace jej za důvěryhodný považuje. Právě tady se objevuje klasický bezpečnostní problém, který MITRE řadí pod CWE-807 – Reliance on Untrusted Inputs in a Security Decision. Jde o situaci, kdy aplikace použije pro bezpečnostní rozhodnutí vstup, který může útočník ovlivnit. Mezi typické příklady takových vstupů patří právě HTTP request headers. Zranitelnost tedy není nějaká specifická „chyba umělé inteligence“. Jde o klasický problém s důvěrou v nedůvěryhodný vstup. Neobvyklé je především prostředí, ve kterém se tato chyba objevila.
Agent se mohl dostat ke svému vlastnímu řídicímu rozhraní
Aby bylo možné pochopit, proč měla chyba tak závažný dopad, je potřeba přidat ještě jeden dílek skládačky. Sandbox sice omezoval přístup agenta k souborovému systému, ale současně mu neznemožňoval síťovou komunikaci přes loopback rozhraní. Agent tak mohl ze svého omezeného prostředí komunikovat s lokálním API samotného Harnessu. Tím vznikla poměrně nešťastná situace. Bezpečnostní mechanismus měl agenta omezovat, ale agent současně dokázal komunikovat s komponentou, která jeho vlastní oprávnění spravovala. jakmile výzkumníci zkombinovali dostupnost lokálního API s možností podvrhnout hodnotu Host, vznikla cesta, jak toto rozhraní přesvědčit, že požadavek přichází z důvěryhodného zdroje. Výsledkem bylo změnění konfigurace běžící session na režim danger-full-access. V tu chvíli už agent nebyl omezen původním sandboxem a mohl provádět operace, které mu předtím bezpečnostní mechanismus nedovoloval. Výzkumníci například ověřili, že zápis do umístění mimo pracovní prostor byl před útokem zablokován, zatímco po změně oprávnění jej bylo možné provést.
Jak se do útoku dostává prompt injection?
Tady se dostáváme k části, která dělá celou zranitelnost zajímavou především z pohledu bezpečnosti AI agentů. Klasický útok na lokální API by předpokládal, že útočník už nějakým způsobem dokáže na počítači spouštět příkazy. U AI agenta však může být cesta k jejich provedení výrazně jednodušší. Agent totiž během své práce zpracovává obsah, kterému nemusí být možné plně důvěřovat. Může jít například o zdrojový kód, README soubor, dokumentaci, issue nebo jiný obsah z projektu. Pokud se do takového obsahu dostane škodlivá instrukce, může se agent pokusit podle ní postupovat. Právě zde může nastoupit prompt injection, která patří mezi techniky popsané v MITRE ATLAS pro útoky proti AI systémům. Je ale důležité být přesný. Prompt injection sama o sobě tuto zranitelnost neprolomila. Může pouze přimět agenta k provedení příkazu, který následně využije chybu v Harnessu. Agent potom využije jeden ze svých nástrojů, například shell, a přes něj zavolá lokální API Harnessu. Nejde tedy pouze o to, že model něco vygeneruje. Model prostřednictvím nástroje skutečně provede operaci v operačním systému. Výsledný řetězec můžeme zjednodušit:
škodlivý obsah → prompt injection → AI agent → využití nástroje → lokální API → obejití autentizace → změna oprávnění → útěk ze sandboxu
A právě tento řetězec ukazuje, proč jsou bezpečnostní hranice u AI agentů tak důležité. Pokud totiž agent dokáže pracovat s nedůvěryhodným obsahem a současně má přístup k lokálním službám, může jedna zranitelnost změnit relativně omezenou prompt injection v mnohem závažnější kompromitaci prostředí. MITRE ATLAS je v tomto případě užitečný právě proto, že umožňuje podobné útoky popisovat jako řetězec jednotlivých technik. Nejde totiž pouze o jednu chybu v AI modelu. Kombinuje se zde manipulace vstupu, použití nástroje agenta, změna konfigurace a následné obejití sandboxu. CVE-2026-82533 přitom není samotným MITRE ATLAS oficiálně označeno jako konkrétní ATLAS případ. ATLAS zde používáme jako rámec pro pochopení jednotlivých kroků útoku.
Localhost není automaticky bezpečný
Situace může být ještě komplikovanější v případě, kdy je lokální API nějakým způsobem zpřístupněno mimo počítač.
Ve výchozí konfiguraci podle analýzy OX Research API naslouchalo pouze lokálně. To znamená, že zranitelnost sama o sobě neznamenala, že kdokoliv na internetu mohl okamžitě převzít každou instalaci DeepSeek Harnessu.
Lokální služba ale nemusí zůstat lokální.
Uživatel může například použít SSH port forwarding, tunel, reverzní proxy nebo jiný mechanismus, který lokální port zpřístupní jinému systému. V takovém případě se z původně lokálního API stává potenciálně vzdáleně dostupná služba.
A pokud tato služba nemá skutečnou autentizaci, vzniká další útočná cesta.
Výzkumníci navíc upozornili na možnost získat uložené konverzace prostřednictvím tohoto API bez API klíče nebo přímého volání AI modelu.
To je důležitá připomínka obecnějšího pravidla:
„Naslouchá pouze na localhostu“ není bezpečnostní mechanismus.
Je to pouze informace o tom, kdo má k danému portu standardně přístup.
CVE-2026-82533
Zranitelnost dostala označení CVE-2026-82533 a podle zveřejněné analýzy má CVSS 4.0 skóre 9,4, tedy kritickou závažnost.
Postiženy byly verze DeepSeek Harness 0.1.1-rc.2 a starší. Oprava byla vydána ve verzi 0.1.2-alpha.1.
Podle zveřejněné časové osy byla zranitelnost nahlášena 24. srpna 2026. Oprava následovala 27. srpna a CVE bylo zveřejněno 8. září.
Opravená verze už nepoužívá pouze hodnotu HTTP hlavičky Host jako důkaz důvěryhodnosti požadavku. Autentizace lokálního API byla posílena tak, aby klient nemohl důvěryhodnost požadavku jednoduše podvrhnout.
Co na to říká samotný DeepSeek?
Na celé situaci je možná nejzajímavější ještě jeden detail. Bezpečnostní upozornění totiž najdeme přímo v oficiálním repozitáři DeepSeek Harnessu. Autoři tam otevřeně uvádějí, že DeepSeek Harness je experimentální developer-preview software, neprošel bezpečnostním auditem a nemá být považován za bezpečný ani připravený pro produkční nasazení. To není jen formální upozornění. Harness dokáže spouštět kód a příkazy generované modelem, načítat pluginy třetích stran a pracovat se sítí, procesy, přihlašovacími údaji a soubory, ke kterým mu uživatel poskytne přístup. DeepSeek proto upozorňuje, že chybný výstup modelu, chyba v samotném Harnessu, špatná konfigurace, škodlivý vstup nebo nedůvěryhodný plugin mohou vést například k poškození hostitelského počítače, úpravě či odstranění souborů nebo úniku dat a přihlašovacích údajů. Ještě důležitější je upozornění týkající se samotného sandboxu. DeepSeek přímo uvádí, že sandbox, schvalovací mechanismy a permission controls mohou snížit riziko, ale nezaručují izolaci ani ochranu před poškozením. Zároveň nedoporučuje spoléhat se na Harness jako na jedinou bezpečnostní kontrolu pro nedůvěryhodné úlohy. Autoři proto doporučují používat princip nejmenších oprávnění a přednostně provozovat Harness v jednorázovém virtuálním stroji, kontejneru nebo dedikovaném prostředí. Zároveň doporučují zálohovat data, ke kterým má Harness přístup, a nevystavovat mu citlivé údaje nebo přihlašovací údaje, pokud případný únik není akceptovatelný. V kontextu CVE-2026-82533 dostává toto varování další význam. Zranitelnost ukázala, že bezpečnostní hranice mezi AI agentem a hostitelským systémem nemusí být tak pevná, jak by uživatel mohl předpokládat. Samotní autoři přitom už ve své bezpečnostní dokumentaci upozorňují, že sandbox nelze chápat jako absolutní bezpečnostní garanci.
Technické údaje
Produkt: DeepSeek Harness (dsh)
CVE: CVE-2026-82533
CVSS: 9.4 / Critical
CWE: CWE-807 – Reliance on Untrusted Inputs in a Security Decision
Postižené verze: 0.1.1-rc.2 a starší
Opravená verze: 0.1.2-alpha.1
Typ problému: authentication bypass / sandbox escape
Důsledek: změna session na danger-full-access a obejití sandboxového omezení
Zdroje
OX Security – technická analýza CVE-2026-82533
https://www.ox.security/blog/cve-2026-82533-deepseek-harness-ai-agent-sandbox-escape/
The Hacker News – DeepSeek Harness Flaw
https://thehackernews.com/2026/09/deepseek-harness-flaw-let-ai-agents.html
MITRE ATLAS – Adversarial Threat Landscape for Artificial-Intelligence Systems
https://atlas.mitre.org/
MITRE CWE-807 – Reliance on Untrusted Inputs in a Security Decision
https://cwe.mitre.org/data/definitions/807.html
DeepSeek Harness – oficiální GitHub repozitář
https://github.com/deepseek-ai/deepseek-harness
DeepSeek Harness – SAFETY.md
https://github.com/deepseek-ai/deepseek-harness/blob/master/SAFETY.md
OSV – CVE-2026-82533
https://osv.dev/vulnerability/CVE-2026-82533
