这周没有新模型,风险轴替了热度轴:CVE-2026-82533 把『沙盒逃逸』写成反例——dsh 把无鉴权控制面摆在回环端口、只信自报 Host 头,牢里的 agent 一条命令关掉审批出狱。热层 skill 生态同步从囤转治:官方逐轮计量上下文、archify 用确定性渲染摘掉输出幻觉。信任正从『模型不越界』迁到『harness 管得住自己的控制面与预算』。
沙盒困不住 agent,harness 的控制面才困得住:DeepSeek Harness 自助提权逃逸(CVE-2026-82533,9/8 公开),热层 skill 生态同步从『囤』转向『治』
今日判词：今天没有新模型,最重的信号在风险轴:DeepSeek Harness 9/8 公开的 CVE-2026-82533 把『沙盒逃逸』写成了教科书级反例——根因不在模型在 harness,它把无鉴权控制面摆在回环端口上、只信客户端自报的 Host 头,于是沙盒里的 agent 一条命令就能提权到 danger-full-access 并关掉审批,等于自己松开自己的闸。同层热度轴也到拐点:skill 连续霸榜之后,官方开始给这个生态上治理——Claude Code 用 /skill-doctor 逐轮计量 skill 的上下文税,OpenAI 官方 skills 目录稳定进日榜,archify 则示范了把『输出确定性』工程化的分工。热与险同指一个判断:信任边界已经从模型提示层收缩到 harness 自身的控制面与预算管理,构建者该把审查对象从 prompt 换成 harness 的配置、控制 API 与 skill 供应链。
热度盘面 Top 4
-
CVE-2026-82533(9/8 VulnCheck 公开,CVSS 9.4,CWE-807):控制面 Web UI 默认绑 127.0.0.1:3080,一批 RPC 无鉴权且只校验客户端自报的 Host 头、不校验连接来源;沙盒内 agent 发一条命令即可把会话提权到 danger-full-access 并关掉审批,等于自助出狱,若端口经隧道/反代暴露则升级为免凭据远程 RCE 并可拖走全部会话。0.1.0-rc.6 实测,0.1.2-alpha.1(8/27)修复。(据 OX Research/VulnCheck,仓库 Discussion #853)
编辑注 沙盒拦得住文件副作用,拦不住同机回环上的控制面——把『关闭审批』做成 agent 可调的 API,等于给囚犯发钥匙。别问模型会不会越界,先问:harness 的控制 API 被里面的 agent 摸到,能干嘛?
-
当周 +17,190★、1.4× 第二名,拿下 GitHub trending 周榜增速第一(累计约 5.1 万★,9/6-9/7 截);做法是把『画架构图』拆开:agent 只产出 typed JSON 中间表示,Node 渲染器确定性出 HTML/SVG 并做 schema/layout 校验,失败返回机器可读 repair receipt,另有 Before/Delta/After 快照对比用于评审。(据 9/6 周榜盘点)
编辑注 值得跟的不是图,是分工模式:让 agent 写『结构化、可校验的事实』,把『最终形态』交给确定性程序——凡 agent 直接吐最终格式(文档/图/配置)的活,都能用这套把幻觉从输出端摘掉。
-
2.1.261(9/4)新增 /skill-doctor:盘点本会话『装了但从没被调用』的 skill 及其每轮上下文占用(只报告不剪枝);官方文档称 skill listing 里的每个 skill 无论是否被调用都会逐轮进入上下文,listing 预算默认 1% 上下文窗口、可调。(据官方 changelog 与第三方解读)
编辑注 skill 热到官方开始『计量』——先让每轮的上下文税可见,生态才谈得上治理。但它只量体重不量价值:一个低频但关键的 skill 和纯死重长得一样,别照着报告无脑删。
-
OpenAI 官方的 Codex Skills Catalog 持续刷日榜存在感:9/8 日榜 26,261★、单日 +351,与 ECC(+1,897)、marketingskills(+580)等个人/垂直技能包同台——当日日榜 14 席里 10 个是 agent 项目、4 个以 skill 为主打。(据 9/8 GitHub 日榜盘点)
编辑注 厂商官方下场发目录,改变的是分发位势,不是信任模型:目录不等于白名单,装第三方包之前该扫 SKILL.md、该验脚本的步骤一步没少。官方目录只是给『同厂同源』一个锚点,别把它当成 app store。
雷达上值得盯的 3 件事
trend 云安全联盟研究笔记把 MCP 称为『协议单文化』:鉴权是可选不是必选,MCPTox 基准对生产 agent 的 tool-poisoning 成功率最高 72.8%,2026 上半年 MCP 相关 CVE 约 43% 是 shell/exec 注入——与 dsh 的 CVE 合流成同一个判断:agent 的信任边界在 harness/协议层,不在模型。
trend CVE-2026-82533 不是 dsh 孤例:仓库公开讨论 #3245 显示 Code Mode 的 run_code 把模型写的 TypeScript 放进未沙箱的 worker 线程、可绕 read-only 沙盒拿任意读写,0.1.x 另有一簇 plugin/配置加载类逃逸报告——新 harness 的默认沙盒信任面,两周内被系统性试了一遍,说明默认配置的攻防远未收敛。
trend skill 治理工具链成形:官方 /skill-doctor 负责记账,第三方 skill-lint/mcp-scan 静态扫 SKILL.md,安全社区把『从公共 registry 直装即信任』标成反模式——买 skill 先审计,正在变成 npm audit 式的默认动作。