DeepSeek Harness CVE-2026-82533: Sandbox-Escape mit CVSS 9.4

Jeder Entwickler, der einen KI-Coding-Agenten auf einem Laptop mit aktiven SSH-Schlüsseln betrieben hat, weiß bereits, wie dünn das Bedrohungsmodell ist. CVE-2026-82533 macht es noch dünner. Ein in einer Sandbox laufender Agent innerhalb von DeepSeek Harness kann seine eigene Einschränkung mit einem einzigen Shell-Befehl deaktivieren – bei Standardkonfiguration, ohne Netzwerkexposition und ohne Zugangsdaten. Der CVSS-4.0-Score beträgt 9,4.

Die Zahlen

Beginnen wir mit dem Score. 9,4 auf CVSS 4.0 ist keine „im nächsten Sprint patchen"-Zahl. Der Vektor CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H sagt alles: über das Netzwerk erreichbar, niedrige Komplexität, keine Berechtigungen erforderlich, hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit sowie hohe Auswirkungen auf das nachgelagerte System. Der einzige mildernde Faktor ist Benutzerinteraktion – was im Kontext eines Agenten bedeutet: „Der Agent führt einen Befehl aus, den ein Angreifer ihm gegeben hat." Das ist genau die Aufgabe eines Coding-Agenten.

Dann die Reichweite. DeepSeek Harness, oder dsh, ist ein local-first Harness zum Betreiben von KI-Coding-Agenten. Nach der Veröffentlichung im August 2026 zog das Tool innerhalb weniger Wochen mehr als 215.000 GitHub-Sterne an – laut dem Disclosure-Bericht eines der meistgestarnten Entwickler-Tools des Jahres. Das ist kein Nischen-Forschungsprojekt. Das ist ein Tool, das auf zehntausenden von Entwickler-Workstations läuft und mit den Umgebungsrechten desjenigen ausgeführt wird, der es gestartet hat.

Der Disclosure-Zeitplan ist eng und sauber. Wie OX Security berichtete, bestätigten die Forscher Nir Zadok und Moshe Siman Tov Bustan die Schwachstelle durch Ausführung und meldeten sie am 24. August 2026 an VulnCheck als CNA. Ein Fix erschien in DeepSeek Harness 0.1.2-alpha.1 am 27. August. OX Research testete am 30. August erneut und bestätigte die Behebung. CVE-2026-82533 wurde am 8. September 2026 veröffentlicht. Drei Tage von der Offenlegung bis zum Patch bei einem Alpha-Tool ist schnell. Drei Tage ist aber auch länger, als ein motivierter Angreifer braucht, um einen öffentlichen Writeup zu weaponisieren.

Die CWE-Klassifizierung, CWE-807 Reliance on Untrusted Inputs in a Security Decision, ist das verräterische Zeichen. Das ist keine neuartige Fehlerklasse. Das ist dieselbe Kategorie von Fehlern, die in Web-Frameworks seit zwei Jahrzehnten immer wieder entdeckt wird. Neu ist der Explosionsradius: Die nicht vertrauenswürdige Eingabe ist ein Header, und die Sicherheitsentscheidung, die er steuert, lautet: „Darf dieser Aufrufer die Sandbox deaktivieren?"

Was wirklich neu ist

Der technische Mechanismus ist es wert, genau gelesen zu werden, denn er wird in anderen Harnesses wiederholt werden. DeepSeek Harness stellt seine Agent-Control-API auf 127.0.0.1:3080 ohne Authentifizierung bereit. Eine einzige Funktion, isTrustedApiRequest, liest den Host-Request-Header und erlaubt Zugriff, wenn der Wert eine Loopback-Authority ist oder in einer konfigurierten trustedHosts-Liste erscheint. Sie vergleicht diesen Wert nie mit der tatsächlichen Peer-Adresse der Verbindung.

Der Kommentar zu dieser Funktion macht deutlich, dass sie zum Stoppen von DNS-Rebinding konzipiert wurde. Gegen einen Browser funktioniert das. Browser können den Host-Header nicht fälschen. Gegen eine Shell innerhalb der Sandbox funktioniert es überhaupt nicht, denn ein Raw-HTTP-Client kann jeden beliebigen Host-Wert setzen. Die Sandbox selbst – ob bubblewrap unter Linux, Landlock oder Seatbelt unter macOS – schränkte Datei-Schreibzugriffe ein, ließ aber Loopback-Networking offen. Unter Linux übergaben die bubblewrap-Argumente --unshare-pid, aber nicht --unshare-net. Unter macOS verwendete das Seatbelt-Profil (allow default) mit darüber gelegtem (deny file-write*). Die Sandbox war dateiorientiert. Die API war vom Inneren der Sandbox aus über das Netzwerk erreichbar. Beide trafen nie aufeinander.

Die Exploit-Chain besteht aus einem einzigen Shell-Aufruf. Normale bash-Tool-Aufrufe erforderten keine Genehmigung. Der Agent trifft seine eigene lokale API, hebt die Sitzung auf danger-full-access mit deaktivierten Genehmigungsaufforderungen an, und jeder nachfolgende Befehl läuft uneingeschränkt und ohne Rückfrage. Die Policy-Änderung wurde im Session-Log als source: {kind: 'user'} aufgezeichnet, und nach dem Ausbruch erschien kein Genehmigungs- oder Anfrageereignis. Der Harness konnte die eigene Shell des Agenten nicht von der des menschlichen Benutzers an der Tastatur unterscheiden. Das ist der wirklich neue Teil.

Meine Einschätzung: Das interessante Versagen hier ist nicht die Header-Prüfung. Es ist die architektonische Entscheidung, eine privilegierte Control-API und eine sandboxed Shell denselben Netzwerk-Namespace teilen und miteinander ohne kryptografische Bindung kommunizieren zu lassen. Produktionsvorfälle im Fintech-Bereich, die ich erlebt habe und die so aussehen, betreffen meist interne Service-Meshes, die einem X-Forwarded-For-Header vertrauen. Gleiche Form, andere Verkleidung.

Was für Security-Teams bereits eingepreist ist

Wer in den letzten fünf Jahren Zeit mit OWASP-Kategorien verbracht hat, hat bereits angenommen, dass KI-Coding-Agenten ein weiches Ziel sind. Das Ambient-Authority-Argument ist gut verstanden: Der Agent hält eine Shell, liest und schreibt Quellcode-Bäume und kann von der Workstation des Entwicklers auf SSH-Schlüssel, Cloud-Credentials, Paket-Registries und interne Systeme zugreifen. Dieses Risiko war eingepreist, sobald Teams begannen, diese Tools einzusetzen.

Was nicht eingepreist war – zumindest nicht ehrlich –, ist, dass die Sandbox, die diese Autorität begrenzen soll, oft Theater ist. Teams, mit denen ich gearbeitet habe, behandeln „es läuft in einer Sandbox" als ausreichende Antwort auf das Security-Review. Dieser CVE ist ein sauberes Gegenbeispiel. Die Sandbox setzte beim Zeitpunkt des Ausbruchs aktiv Datei-Schreib-Einschränkungen durch. Der Proof of Concept hat das bestätigt. Sie hat nur das nicht durchgesetzt, was wichtig war: „Der Agent kann nicht mit seiner eigenen Control-Plane kommunizieren."

Der zweite Angriffsweg ist der, bei dem CISOs aufhorchen sollten. Wenn der Port über einen Tunnel, Reverse Proxy, SSH-Forward oder Editor-Port-Forward erreichbar ist, kann ein nicht authentifizierter Remote-Angreifer die vollständige Kontrolle über den Agenten übernehmen und separat jedes gespeicherte Gespräch ohne API-Schlüssel oder Modell-Aufruf exportieren. Jeder Entwickler, der jemals ssh -L ausgeführt hat, um einen lokalen Dienst mit einem Teammitglied zu teilen, wurde gerade Teil des Bedrohungsmodells. Ebenso jeder Editor mit einer Port-Forwarding-Erweiterung. Das ist nicht eingepreist.

Gegensätzliche Sichtweise

Die Konsensmeinung zu diesem CVE wird lauten: „KI-Agenten sind gefährlich, fügt mehr Sandboxing hinzu." Ich halte das für die falsche Schlussfolgerung. Mehr Sandbox-Schichten auf einer defekten Vertrauensgrenze verschieben nur die Ziellinie. Die unbequeme Lesart: Das eigentliche Problem ist, dass Agent-Harnesses mit derselben laxen Localhost-ist-sicher-Annahme entworfen werden, die ein Jahrzehnt voller CSRF- und DNS-Rebinding-Bugs produziert hat – und die Branche beeilt sich, diese Tools zu veröffentlichen, bevor diese Annahme geprüft wird.

Es gibt auch ein Gegenargument zur Schwerebewertung. UI:P im Vektor bedeutet, dass Benutzerinteraktion erforderlich ist. In der Praxis ist „der Agent führt vom Angreifer kontrollierten Text aus" der Standard-Betriebsmodus eines Coding-Agenten, der an einem echten Repo mit echten Abhängigkeiten arbeitet. UI:P leistet hier also keine defensive Arbeit. Wenn überhaupt, unterschätzt der Score von 9,4 das operative Risiko für Teams, die diese Agenten gegen Pull Requests externer Beiträger oder gegen Abhängigkeitsbäume aus öffentlichen Registries ausführen. Das sollte gegen den CISA KEV-Katalog verfolgt werden, sobald eine Ausnutzung in freier Wildbahn beobachtet wird.

Wichtige Erkenntnisse

• Aktualisieren Sie DeepSeek Harness sofort auf 0.1.2-alpha.1 oder höher. Alles, was vor dem 27. August 2026 ausgeliefert wurde, ist in der Standardkonfiguration anfällig.
• Prüfen Sie jede lokale Agent-Control-API auf Peer-Address-Verifizierung. Vertrauen Sie niemals dem Host-Header als Authentifizierungssignal. Binden Sie privilegierte Endpunkte an einen Unix-Socket mit Dateisystemberechtigungen, oder verlangen Sie ein sitzungsspezifisches Token, das die sandboxed Shell nicht lesen kann.
• Behandeln Sie Loopback-Networking als von innerhalb Ihrer Sandbox erreichbar, es sei denn, Sie teilen den Netzwerk-Namespace explizit auf. Prüfen Sie Ihre bubblewrap-Flags auf --unshare-net. Prüfen Sie Ihr Seatbelt-Profil auf Netzwerkregeln, nicht nur auf file-write*-Verbote.
• Gehen Sie davon aus, dass jedes Dev-Tool, das auf localhost lauscht, einen ssh -L-Befehl von der Remote-Erreichbarkeit entfernt ist. Inventarisieren Sie Port-Forwards und Editor-Erweiterungen auf Entwickler-Maschinen genauso wie VPN-Tunnel.
• Protokollieren Sie Policy-Änderungen mit dem tatsächlichen Initiator, nicht als source: {kind: 'user'}. Wenn Ihr Session-Log die Shell eines Agenten nicht von der Tastatur eines Menschen unterscheiden kann, ist Ihr Audit-Trail eine Fiktion.

Der Fix wurde in drei Tagen ausgeliefert. Das Design-Muster, das den Bug produziert hat, wird in jedem neuen Agent-Harness dieses Quartals mitgeliefert. Patchen Sie den CVE. Lesen Sie dann den Trust-Boundary-Code Ihres eigenen Harness, bevor es jemand anderes tut.