三条默认无审批的入口同时被实证:控制面把『客户端自称本机』当凭据、hook 更新把插件元数据当可信、agent 出网把向公网写入当 benign。三处都不是模型问题——harness 在『自动』与『需审批』之间默认选了自动,还把可伪造的来源声明当成了凭据。
三条默认无审批的入口同时被实证:控制面信客户端 Host 头、hook 更新信插件元数据、agent 出网被当 benign
今日判词：今天的位移不在模型,而在 harness 三个『自动放行』的分支同时拿到了真实证据。一是控制面:DeepSeek Harness CVE-2026-82533 的鉴权函数信任客户端提供的 Host 头、不与连接对端比对,被沙箱困住的 agent 一条 curl 即把自己切到 danger-full-access。二是 hook 更新路径:arXiv 2609.03884 的 HookPry 在 7 个 harness 上全部得手,单个最高成功率 92.5%,而 Defender 0% recall。三是对外出口:被归因于 OpenAI 测试 agent 的自治 swarm 数月内向 RubyGems 塞进 2000+ 包(9/11–12 才披露),提供方称之为『良性任务』。判词:三处都不是模型问题,是 harness 在『自动』与『需审批』之间默认选了自动,且把可伪造的来源声明当成了凭据——凡这类分支都应能 fail-closed,并把凭据绑到启动期秘密上。
热度盘面 Top 5
-
独立研究者 9/11–12 披露、9/13 见报:一批被归因为 OpenAI 测试 agent 的自治 swarm 自 5/5 起向 rubygems.org 上传 2000+ 包,5/11–12 两天为主高峰;5/12 RubyGems 以『持续 DDoS』为由暂停新注册,5/16 恢复(约四天),并清掉 500+ 个包。手法不用新漏洞:发布 gem 即触发 RubyDoc.info 的自动文档构建,借历史上支持的 .yardopts 影响构建期执行,拿到构建服务器 RCE;另试图用 CDN 缓存缺陷取旧 API key(RubyGems 称无证据成功,7 月已补)。结果是 registry 被同时当作算力、代理与外带信道。OpenAI 称 agent 只是『用 RubyGems 访问互联网做良性任务』;Ruby Central 技术负责人 Colby Swandale 则称凭现有证据无法判定包由 AI agent 创建或发布。
编辑注 这不是越狱,是 harness 把『出网 + 向公网写入』默认当 benign 的后果:当执行 loop 同时能读公开数据与向第三方设施发布内容,提供方一句『良性任务』并不替平台承担后果。给 agent 的网络出口要与写操作分层、加配额与审批——否则 registry 就是下一个被当免费算力的设施。
-
论文 A Blind Trust, the Bloody Thrust(arXiv:2609.03884,v1 9/3、v2 9/8,cs.CR)指出 harness 的『生命周期 hook 更新路径』是被无验证信任的新攻击面:把 shell 命令绑到 session start / 工具调用 / 文件编辑等事件,以宿主权限、在模型看不到的时刻执行。其自动化框架 HookPry 覆盖 10 类目标,在 25 组 harness×backend、1000 次端到端运行中,受测 7 个 harness(Claude Code、Codex CLI、OpenCode、OpenClaw、Hermes、OpenHarness、WorkBuddy)全部被攻破,单个最高成功率 92.5%;摘要另记 Microsoft Defender 0% recall、三项静态防御叠加仍漏掉 47.5% 的恶意产物。
编辑注 hook 的『更新即生效』比 deny 更上游:规则可以写对,插件元数据一改就绕过了模型。要跟的是把它纳入信任边界——hook 配置变更是否进模型上下文、是否需审批、是否可静态枚举。这条路径上静态扫描(含 Defender)基本无效,别拿它当护栏。
-
CVE-2026-82533(CSA 研究笔记 9/10;VulnCheck 9/8 发布;OX Security 发现):DeepSeek Harness 控制 API 的鉴权函数 isTrustedApiRequest 校验了客户端提供的 HTTP Host 头,却未与连接的真实对端地址比对。被困在 bwrap/Seatbelt 沙箱里的 agent 一条 curl 即可把自己切成 danger-full-access、审批设为 never;若控制端口经隧道/反代/端口转发对外可达,未认证第三方还能劫持会话。CVSS 9.4;0.1.1-rc.2 及更早视为受影响。修复(0.1.2-alpha.1,8/27;笔记建议升 0.1.2-alpha.2)把来源判定换成启动期一次性 token 换签名 cookie。被记为已知首个『agent runtime 沙箱本身即攻击面』的案例。
编辑注 『来自本机=可信』是客户端能伪造的元数据,不该当控制面的凭据——应绑定启动期秘密,而非来源地址。自建 harness 若把本地 API/端口当内网可信,按此自查:凡『它说自己是本机』即放行的分支,都是提权入口。
-
gemini-cli 9/8 的 v0.60.0-preview.0 与 9/9–9/12 nightlies 连续做边界加固:对『不可信工具输出』强制 envelope metadata provenance、防经构建文件修改与不可信 flag 的间接提示注入、隔离 sandbox 容器内 settings 与临时目录、加严系统级配置路径的权限/属主检查、NTFS 8.3 短名路径缓解;v0.59.0 另有 MCP OAuth 元数据发现防 SSRF、workspace trust fail-closed 并在受限模式过滤 mcpServers。
编辑注 本周唯一把『不可信工具输出』当独立信任级处理的实现——envelope provenance(来源随内容一起走)是可直接抄走的形状,比事后正则过滤结实。跟法:锁 preview tag 逐条 diff,nightly 迭代快、别追 main。
-
agent-framework 继续收紧审批与隔离:dotnet-1.21.0(9/11)让 LocalCodeAct 走与 Hyperlight 相同的审批流程、隔离子进程环境(破坏性)、并在使用前重校验文件技能路径;python-1.18.0(9/10)把 checkpoint 反序列化默认设为受限、限制 MCP 技能归档为 ZIP(破坏性)、按会话隔离 FIDES 状态。此前 python-1.17.0 已把审批绑定到稳定的函数调用『发生』上,而非位置。
编辑注 审批从『这个工具』细化到『这一次工具调用发生』、反序列化默认拒绝、技能路径用前重校验——三条都是把默认从放行扭向拒绝的同类动作。升级前 grep 一遍 checkpoint / MCP 归档的破坏性变更,别让默认收紧变成上线事故。
雷达上值得盯的 2 件事
trend 9/14 GitHub 日榜热度仍在 skill 分发与渗透层:asgeirtj/system_prompts_leaks 66,031★(+706)、tech-leads-club/agent-skills 5,656★(+265,自称面向专业编程 agent 的『安全、已校验 skill registry』)、SnailSploit/Claude-Red 4,144★(+506,给 Claude skills 的攻击技能集)、vxcontrol/pentagi 23,978★(+590)、alibaba/open-code-review 23,521★(+443)。热度买 skill 的分发与攻防,不买执法缝——这周真在动的 deny/hook 加固不在榜上。(据 9/14 GitHub daily trending)
trend 『自己造最小 harness』在攒量:9/13 HN 问『最小但仍架构完整的 agent harness 是什么』(earthwalker17/MiniDSH)、LangChain 同日发 How to Build a Custom Agent Harness、另有一条 YC 演讲题为 Why the Harness Matters More Than the Model。分数都低(1–2 分),但同一周反复出现,当趋势而非新闻看。