文章总结： DeepSeekHarness存在权限边界缺陷，AI代理可借工具自行修改沙箱配置，在无人工批准下扩大文件访问范围。核心风险在于策略修改与命令执行同处信任域，隔离退化为提示语。建议将策略修改置于独立控制面，最小化挂载工作目录，迁移凭据，保留完整审计日志，并定期开展边界回归测试。 综合评分： 85 文章分类： 安全建设,解决方案,安全意识,漏洞分析

DeepSeek Harness 沙箱可被自我关闭：AI 编码环境要重画权限边界

原创

tcode tcode

字节脉搏实验室

2026年9月10日 10:33 北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

    9 月 9 日公开的研究显示，DeepSeek Harness 存在一条危险的权限边界：AI agent 可以通过自身可调用的工具改变沙箱配置，在没有人工批准的情况下访问更大的文件范围。研究标题称其可让代理“关闭自己的文件沙箱”；这描述的是工具设计缺陷和研究验证，不等于所有使用 DeepSeek 的团队已经被攻击。

    Harness 是把模型接入命令执行、文件读写和代码编辑的运行框架。模型只输出文本，真正产生影响的是外围工具授予它的权限。如果“修改配置”和“执行命令”被放在同一信任域，代理就可能先改规则，再按新规则读取密钥、源码或构建文件。沙箱的价值是把宿主文件系统、网络和凭据隔开；一旦代理能自行关闭它，隔离就退化成提示语。

风险不在模型名，而在代理拿到什么

    国内团队常把 AI 编码工具接入本地仓库、企业 Git、云端密钥和测试环境。即使没有恶意提示词，仓库中的 issue、README 或第三方依赖也可能包含诱导代理执行高风险动作的文本。核心不是“模型聪不聪明”，而是代理是否拥有持续凭据、是否能访问宿主目录、是否可以联网下载工具。

    使用 DeepSeek 或兼容 Harness 的内部平台时，应确认实际部署版本、是否启用文件沙箱、哪些工具能修改策略、审批状态是否由服务端强制保存。只看前端勾选框不够，策略必须在执行器一侧不可绕过。

四项边界调整

    第一，锁定 Harness 及相关插件版本，记录变更前后的策略哈希；无法确认版本来源时先停用自动执行。

    第二，把文件读取、命令执行、网络访问和策略修改拆成不同权限，策略修改必须由人工或独立控制面批准。

    第三，代理只挂载临时工作目录，禁止直接读取 SSH 密钥、云凭据、浏览器配置和生产代码目录。第四，保留每次工具调用、审批决定、沙箱状态和网络目的地日志，至少保存到一次版本发布周期之后。

审批为什么必须在控制面完成

    如果审批按钮由同一个 agent 调用，或策略文件与工作目录共享可写挂载，攻击者不需要越过复杂的系统防线，只需诱导工具链接受一次策略改写。真正有效的设计是把策略与执行环境分离：代理请求权限，独立服务记录、判断并签发短时令牌；执行器只能接受令牌范围内的路径、命令和网络目的地。

    对已经接入生产代码、制品仓库或云账号的团队，先用最小权限模式运行。将密钥迁出工作目录，改用短时、可撤销的凭据；把外网下载和包安装放进受控镜像或代理。这样即使出现新的代理绕过，影响也会被限定在可丢弃的临时环境。

信息边界

    公开研究确认的是 Harness 类工具可绕过的权限边界和研究演示，尚无公开证据证明某个中国企业因此失陷。本文不把研究验证写成在野攻击，也不提供关闭沙箱的操作步骤。部署方应以项目官方修复说明、版本提交和自身配置审计为准。

结语

    AI 编码环境的安全底线不是“模型承诺不做坏事”，而是代理无法自行扩大权限。把策略修改放到独立控制面，把宿主凭据从工作目录拿掉，再用日志证明每次审批，才能让沙箱真正承担隔离责任。

先画出代理真实能碰到的边界

    排查应从一次任务的执行路径开始：提示词来自哪里，工作目录挂载了什么，工具允许读写哪些路径，网络可以访问哪些域名，身份凭据由谁注入，审批结果存在哪里。仓库 README、issue、提交信息、测试样本和网页文档都应视为不可信输入，不能因为它们看起来像工程资料就获得工具调用资格。

    审批不应只是弹窗。独立服务应记录任务标识、工具、参数范围、目标路径、网络目的地和有效期，并签发短时令牌；执行器拒绝超出令牌范围的请求。文件系统分层挂载，只读源码、可丢弃工作区、不可见凭据目录和生产配置分开。回看近期任务时，重点找权限突然扩大、工作目录外访问、下载可执行内容、策略文件修改和审批日志缺口。

    将代理接入 CI 或云开发环境时，还要处理凭据传播问题。不要把长期访问令牌写入环境变量、仓库文件或可被工具回显的配置中；任务运行时按仓库、分支和操作范围签发短时令牌，到期即失效。用于构建的服务账号与用于部署的服务账号应分离，代理生成的脚本先在无生产权限的环境执行。即使代理被不可信文本诱导，能够带走或改动的内容也会明显收缩。

    团队可以定期做一组无害的边界回归测试：让代理尝试访问工作区外的假文件、修改模拟策略、连接未授权测试域名或调用超范围命令，预期结果必须是执行器拒绝并产生完整审计记录。测试不需要复现公开研究的绕过细节，重点是验证自家控制面是否独立、挂载是否最小化、例外授权是否到期。把这类测试纳入平台发布门禁，才能避免一次功能升级重新打开权限缺口。

    平台负责人应为每项高权限工具指定资产负责人和停用开关，发生异常时可以立即撤销令牌、断开网络或切换到只读模式。可快速收回的权限，才是自动化能力真正可控的前提。

热点来源

    来源：DeepSeek Harness 项目与版本说明，2026-09；支持事实：Harness 工具链与配置边界，发布前需复核具体修复版本。链接：https://github.com/deepseek-ai

    来源：The Hacker News，《DeepSeek Harness Flaw Let AI Agents Disable Their Own File Sandbox Without Approval》，2026-09-09；支持事实：研究发现、无需审批关闭沙箱的描述。链接：https://thehackernews.com/2026/09/deepseek-harness-flaw.html

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：字节脉搏实验室 tcode tcode《DeepSeek Harness 沙箱可被自我关闭：AI 编码环境要重画权限边界》