DeepSeek Harness 취약점으로 AI 에이전트가 승인 없이 자체 파일 샌드박스 비활성화 가능

DeepSeek Harness(개발자 머신에서 AI 코딩 에이전트를 실행하는 DeepSeek의 오픈소스 도구)에서 샌드박스 내 에이전트가 단 하나의 명령으로 자신의 샌드박스를 비활성화할 수 있는 취약점이 발견됐다.

이 도구는 에이전트의 명령을 운영체제 샌드박스 안에서 실행해, 신뢰할 수 없는 파일을 처리하는 에이전트가 작업 공간 밖에 쓰지 못하도록 제한한다. 그런데 에이전트가 동일 머신의 도구 웹 인터페이스를 호출하는 것만으로 그 제한을 제거할 수 있었고, 이후 명령은 승인 프롬프트 없이 샌드박스 밖에서 실행됐다.

이 취약점은 DeepSeek가 8월 27일 수정하기 전까지 기본 설치 환경에서 동작했으며, 공격자가 에이전트에게 읽힐 텍스트를 제공해야 작동했다.

해당 취약점은 CVE-2026-82533으로 추적된다. 식별자를 부여한 VulnCheck는 9월 8일 레코드를 공개하며 10점 만점에 9.4점으로 평가했다.

취약점을 제보한 보안업체 OX Research는 셸 명령 하나면 충분하다고 밝혔다. 이 명령은 도구의 로컬 인터페이스를 호출해 에이전트 세션을 danger-full-access라는 모드로 설정하는데, 이 모드는 샌드박스를 끄고 승인 프롬프트를 중단시킨다.

일반 명령은 원래 승인이 필요 없었다. 승인은 명령이 현재 세션보다 더 넓은 접근 권한을 요구할 때만 적용됐는데, 이 호출은 권한 확대를 요청한 것이 아니라 세션 설정 자체를 변경했기 때문에 승인을 우회할 수 있었다.

OX는 탈출 전에 샌드박스가 정상 작동하는지 확인했다. 동일한 기본 설정으로 두 세션을 실행하고 같은 명령을 줬다. 인터페이스 호출을 실행한 세션은 작업 공간 외부 폴더에 쓸 수 있었고, 나머지 세션은 차단됐다.

샌드박스는 파일만 제한한다. 영향받는 릴리즈의 커맨드라인 레퍼런스에 따르면, 기본 설정에서 쓰기는 작업 공간과 임시 폴더 안으로 제한되지만 "읽기와 네트워크 접근은 제한되지 않는다"고 명시돼 있다.

이 때문에 도구 자체의 인터페이스가 샌드박스 내부에서 접근 가능한 상태였다. 도구는 에이전트의 셸에 해당 인터페이스 주소와 현재 세션 식별자를 함께 제공하므로, 에이전트가 이를 직접 찾을 필요도 없었다.

인터페이스에는 인증이 없었다. 영향받는 릴리즈에서 요청 허용 여부를 결정하는 로직은 요청의 Host 헤더만 읽었고, 연결 출처는 전혀 확인하지 않았다. 해당 파일의 주석에는 이 체크가 "인증 레이어가 아니다"라고 명시돼 있다.

이 체크가 바로 CVE 레코드가 설명하는 내용이다. 클라이언트가 제공하는 헤더를 신뢰했기 때문에, 외부 머신이 로컬인 척 위장해 에이전트를 조종할 수 있었다. 도구의 커맨드라인은 기본적으로 모든 네트워크 인터페이스에서 수신하지 않도록 설정돼 있어, 외부에서 접근하려면 사용자가 터널, SSH 포워드, 또는 에디터를 통해 포트를 전달·프록시해야 했다.

동일 인터페이스는 세션 전체 로그를 다운로드하는 요청도 처리했다. VulnCheck의 권고문은 인터페이스에 접근할 수 있는 호출자라면 키 없이도 저장된 모든 대화를 가져갈 수 있다고 밝혔다.

영향받는 버전 및 설치해야 할 버전

0.1.1-rc.2 이하 버전이 영향을 받는다. 레코드에는 0.1.2-alpha.1이 수정 버전으로 명시됐지만, 해당 버전은 프로젝트 공식 설치 안내가 가리키는 npm 레지스트리에 끝내 배포되지 않았다.

버전	상태	배포일
0.1.1-rc.2 이하	영향받음	0.1.1-rc.2: 8월 21일 배포
0.1.2-alpha.1	수정됨, GitHub 전용	8월 27일, npm 미배포
0.1.2-alpha.2	npm 최초 수정 배포	8월 30일
0.1.2-rc.1	현재 npm 최신, 수정 포함	9월 3일

The Hacker News가 9월 9일 npm 레지스트리를 확인한 결과, 인증 변경이 적용된 최초 배포 버전은 0.1.2-alpha.2이며, 이는 GitHub에 수정이 반영된 지 3일 후다.

1. 0.1.2-alpha.2 이상을 설치한다. 레지스트리의 현재 최신 릴리즈는 0.1.2-rc.1이다.
2. 써드파티 데스크톱 앱을 통해 설치했다면, 해당 앱이 탑재한 harness 버전을 확인한다.
3. 업그레이드가 불가한 경우, 사용하지 않을 때 웹 인터페이스를 종료하고 해당 인터페이스로 연결되는 터널·프록시·포트 포워드를 모두 제거한다.

검토된 어떤 출처도 도구가 실행 중인 기본 로컬 설치 환경에서 샌드박스 내부로부터 탈출을 막을 방법을 제시하지 않는다. 8월 13일 보고서에 따르면 도구가 수신하는 주소를 제한하는 것도 무의미한데, 에이전트가 이미 같은 머신 위에 있기 때문이다.

수정 내용은 인터페이스에 신원 확인 체계를 추가한 것이다. 도구는 이제 시작 주소에서 일회용 토큰을 출력하고, 브라우저가 이 토큰을 서명된 쿠키로 교환하며, 모든 인터페이스 호출에 해당 쿠키가 필요하다.

수정이 변경하지 않은 것은 샌드박스 자체다. 0.1.2-rc.1에서도 동일한 레퍼런스는 읽기와 네트워크 접근이 제한되지 않는다고 여전히 명시하며, 에이전트의 셸은 여전히 인터페이스 주소를 전달받는다. 작업 공간 내에서 실행 중인 에이전트가 새로운 방식 하에서도 유효한 세션을 획득할 수 있는지에 대해서는 어떤 출처도 언급하지 않는다.

써드파티 데스크톱 빌드는 자체 harness 사본을 탑재하며, 어느 버전을 탑재할지는 래퍼 관리자의 선택이다. 어떤 Windows 빌드는 8월 말에 0.1.1-rc.2를 고정했다가 수정이 포함된 0.1.3-alpha.1로 9월 6일에 전환했다. 래퍼를 통해 harness를 설치한 사용자는 해당 래퍼가 탑재한 버전을 확인해야 한다.

코딩 에이전트 harness는 셸을 보유하고 있기 때문에 공격 대상으로서 가치가 높다. DeepSeek Harness는 에이전트의 명령을 도구를 시작한 계정 권한으로 실행한다.

프로젝트 자체의 안전 고지문에는 소프트웨어가 보안 감사를 받지 않았으며, 샌드박싱과 승인 프롬프트가 "격리를 보장하거나 피해를 방지하지 않는다"고 명시돼 있다. 또한 미검증 작업에 이 도구를 유일한 보안 통제 수단으로 의존하지 말라고 사용자에게 안내한다.

9월 9일 기준 저장소의 스타 수는 216,000개 이상으로, 이는 설치 수가 아니라 북마크한 계정 수다.

연구자들은 올해 들어 코딩 에이전트가 샌드박스를 탈출하는 사례를 반복적으로 발견하고 있다. 여기에는 저장소 자체의 설정이 에이전트로 하여금 샌드박스 밖에서 공격자 코드를 실행하게 만든 일련의 취약점도 포함된다.

커뮤니티 보고서, 8월에 동일한 탈출 방법 기술

두 명의 개발자가 CVE가 존재하기 전에 DeepSeek 자체 토론 게시판에서 동일한 탈출 방법을 설명했다. 8월 13일, 한 개발자가 샌드박스에 여전히 묶여 있는 프로세스가 로컬 인터페이스에 접근해 세션을 danger-full-access로 전환하는 과정을 테스트 결과와 함께 올렸다.

8월 14일에는 다른 개발자가 동일 인터페이스에 대한 보고서를 올리며 인증 없이 수락되는 요청 목록을 정리했다.

두 번째 보고서는 프로젝트에 보안 정책 파일도 없고 취약점을 비공개로 제보할 방법도 없다는 점도 지적했다. 현재도 프로젝트에는 보안 정책 파일이 없다.

OX Research는 자체 타임라인에 따르면 8월 24일 VulnCheck에 취약점을 제보했으며, VulnCheck는 Nir Zadok과 Moshe Siman Tov Bustan을 크레딧으로 명시했다. OX의 게시물은 앞선 두 보고서를 언급하지 않는다.

The Hacker News가 9월 9일 저장소의 권고 목록을 확인한 결과 공개된 보안 권고문은 없었다. 수정이 포함된 릴리즈는 이를 구 전송 방식 제거와 "네트워크 접근에 일회용 토큰 인증 적용"이라는 일반 변경 사항으로만 안내했으며, 보안 공지나 CVE 언급은 없었다.