#deepseek

It has been two weeks since Pook-Emu Bee Links. To be fair, I have had a good amount of work and have been fairly productive in New Leaf Journal publishing. But neither offers a perfect excuse for neglecting ECS, so today I get things back on track.

https://social.emucafe.org/wp-content/uploads/2026/10/a-puddle-in-brooklyn-2026-10-16.jpgI photographed this puddle in Brooklyn on the evening of October 16, 2026. I do not remember exactly where it was, but I suppose that is not too important in this case.Old Tech1 | PHP-ocalypse: How two critical web bugs almost broke the internet (Zack Whittaker for TechCrunch. Oct. 24, 2026.)

You can learn about how I dealt with the “PHP-ocalpse” in issue 303 of The Newsletter Leaf Journal.

2 | The Mystery of True Love: Mahjong Bakuhatsu Junjouden (Nicole Branagan at Nicole Express. Oct. 25, 2026.)

While I will not be reviewing any olden Japanese strip mahjong games (family website and all), I share this interesting, PG-13 article, about one such game.

3 | Sony Retires Its Last 4K Blu-ray Player in Japan, PS5 Is All That’s Left (Usman Saleem for Tech Powerup. Oct. 23, 2026.)

Disc media is not on the upswing. Speaking of disc media, see two links I shared in Newsletter 303.

Things That Should Be Shut Down4 | Shady NYC piercing shop butchered woman’s tongue, sending her to ER: lawsuit (Sonya Gugliana for the New York Post. Oct. 24, 2026.)

This piercing shop should be shut down based on its own admissions without even needing to reach the unfortunate damage caused. With that being granted, I would dare suggest that having holes punched in your tongue is a questionable life choice on both health and aesthetic grounds.

5 | Dr. Oz confronts NYC senior care centers over suspected Medicaid fraud as 80-plus facilities put on notice (Vaughn Golden and Jorge Fitz-Gibbon for the New York Post. Oct. 21, 2026.)

There’s a lesson here. If you want to do good fraud, you need to do your fraud in a way where you’re always prepared for the CMS Director to go all “Kool Aid Man” on you with New York Post reporters in tow. These people are too complacent about their fraud. It’s lazy fraud.

6 | US banning Chinese AI DeepSeek from government agency IT systems (David Shepardson for Reuters. Oct. 19, 2026.)

Wait… that wasn’t banned before?

My Thoughts on Contemporary Cinema7 | ‘The Social Reckoning’ Bombs— Why Sorkin’s Sequel Failed at Box Office (Brett Lang for IndieWire. Oct. 11, 2026.)

This sounds dreadful. I’d rather watch an entirely AI-generated slop movie! (Wait for it…)

8 | China Debuts Its First Fullyu AI-Generated Film (John Hayward for Breitbart. Oct. 23, 2026.)

I have against the better judgment watched the embedded trailer video in this article and have concluded that my comment for link 7 (above) may have been ever-so-slightly extreme. I have decided that watching paint dry is a better path forward.

Video9 | Pokemon Gen1 Gets a PC port (Nephitejnf. August 2026.)

I have these Pokemon recompilation projects on my to-do list. Of course, first I must complete my already-announced Pokemon gen-1 project.

US Government Orders #DeepSeek Out of Federal Civilian Systems
https://securityaffairs.com/201417/ai/us-government-orders-deepseek-out-of-federal-civilian-systems.html
#securityaffairs #hacking

Gli agenti AI per la scrittura di codice promettono di automatizzare interi flussi di sviluppo, ma per farlo hanno bisogno di eseguire comandi shell, modificare file e talvolta chiamare API esterne in totale autonomia. Per questo motivo i tool più seri li fanno girare dentro una sandbox: un ambiente isolato che limita cosa l’agente può leggere, scrivere o eseguire, con un sistema di approvazione umana per le operazioni più rischiose. Una vulnerabilità critica scoperta in #DeepSeek Harness, il tool open source di DeepSeek per eseguire coding agent in locale, dimostra però quanto sia fragile questo modello quando il “guardiano” della sandbox è raggiungibile senza autenticazione. Con un singolo comando shell, l’agente stesso poteva disattivare le proprie restrizioni — bypassando sia il file-sandbox sia i prompt di approvazione.

Cos’è DeepSeek Harness e come funziona la sua sandboxDeepSeek Harness espone un’interfaccia #web locale che funge da pannello di controllo per la sessione #dell’agente: consente di monitorare l’esecuzione, approvare le azioni sensibili e, soprattutto, gestisce lo stato di sicurezza della sandbox. Come molti tool della stessa categoria, l’harness fornisce all’agente stesso l’indirizzo di questa interfaccia e l’identificativo di sessione, così che possa interagirci per richiedere operazioni o notificare eventi.

È proprio questa combinazione — interfaccia locale privilegiata + agente che ne conosce i dettagli di accesso — ad aver reso possibile l’attacco.

Il meccanismo della vulnerabilità (CVE-2026-82533)La falla, tracciata come #CVE-2026-82533 con un punteggio CVSS 9.4 (critico) e classificata come CWE-807 (“Reliance on Untrusted Inputs in a Security Decision”), nasce dalla combinazione di tre debolezze distinte:

Nessuna autenticazione sull’API web locale del control-plane: chiunque potesse raggiungere l’endpoint poteva invocarlo senza credenziali.

Validazione errata dell’origine della richiesta: il servizio si fidava del valore Host fornito dal client invece di verificare l’effettiva origine della connessione TCP (host header spoofing).

Superficie di attacco esposta all’agente stesso: dato che l’harness comunica all’agente indirizzo e session ID dell’interfaccia, un agente compromesso (ad esempio tramite prompt injection da codice o output di terze parti) aveva già tutto ciò che serviva per attaccare il proprio control-plane.

Sfruttando lo spoofing dell’header Host, un attore malevolo — o l’agente stesso se manipolato — poteva raggiungere l’interfaccia in loopback e inviare una richiesta che impostava la sessione in modalità danger-full-access. Questo stato elimina la sandbox sul filesystem e disattiva i prompt di conferma per le operazioni sensibili. Con questo accesso era inoltre possibile invocare direttamente endpoint privilegiati come commands/execute e leggere le conversazioni salvate in sessione, senza mai fornire una credenziale.

Versioni interessate e correzioneLe versioni 0.1.1-rc.2 e precedenti sono vulnerabili. Il fix introduce un’autenticazione a token monouso per l’interfaccia locale: al momento dell’avvio, il tool stampa un token che il #browser scambia con un cookie firmato, richiesto da quel momento per ogni chiamata al control-plane.

VersioneStato≤ 0.1.1-rc.2Vulnerabile0.1.2-alpha.1Fix pubblicato solo su GitHub (non su npm)0.1.2-alpha.2Prima release corretta pubblicata su npm0.1.2-rc.1 (corrente)Consigliata per l’aggiornamentoÈ importante notare il dettaglio sulla distribuzione: chi installa il pacchetto da npm senza controllare la versione esatta rischiava di restare esposto anche dopo l’annuncio della patch, perché la prima correzione non era disponibile su quel registro.

Non è un caso isolato: un problema architetturaleLa vulnerabilità era già stata segnalata autonomamente dalla community su GitHub Discussions il 13 e 14 agosto, prima ancora del report ufficiale a VulnCheck (24 agosto) da parte di OX Research. Analisi successive hanno evidenziato pattern simili — API di controllo locali prive di autenticazione solida, affidamento eccessivo sull’header Host o su altri dati forniti dal client — anche in altri framework per agenti AI, tra cui LangChain, CrewAI e Google ADK. Il messaggio per chi lavora con questi strumenti è chiaro: la logica di orchestrazione e di esecuzione tool-calling degli agenti AI è oggi un’area con superficie di attacco ancora immatura, non un caso isolato di un singolo progetto.

Come proteggersiPer chi gestisce infrastrutture dove girano coding agent locali (server di sviluppo condivisi, VM CI/CD, workstation con accesso a repository sensibili) valgono alcune raccomandazioni pratiche:

Aggiornare immediatamente DeepSeek Harness alla versione 0.1.2-rc.1 o successiva, verificando che il pacchetto installato provenga effettivamente da npm e non da una cache vecchia.

Verificare l’esposizione delle API locali: controllare che le porte del control-plane non siano raggiungibili da reti diverse dal loopback, e che non ci siano tunnel, reverse proxy o port-forwarding che le espongano inavvertitamente (es. tramite VS Code Remote, SSH -L o container con rete condivisa).

Rivedere le sessioni e le conversazioni eventualmente esposte durante il periodo di vulnerabilità, specialmente se contenevano segreti, token o codice proprietario.

Applicare il principio del minimo privilegio agli agenti: eseguirli con utenti dedicati a permessi limitati, evitando di lanciarli con lo stesso utente che ha accesso a credenziali cloud o chiavi SSH.

Non fidarsi della sola autenticazione basata su header HTTP per servizi locali critici: preferire token generati a runtime, socket Unix con permessi ristretti, o mutui TLS quando possibile.

ConclusioneIl caso DeepSeek Harness è un promemoria utile per chi sta integrando agenti AI autonomi nei propri flussi di sviluppo o di sistema: la sandbox è utile solo quanto il meccanismo che la protegge, e un’interfaccia di controllo locale non autenticata è, di fatto, una porta sul retro. Con CVSS 9.4 e un percorso di sfruttamento che richiede solo un comando HTTP verso localhost, questa vulnerabilità mostra come la sicurezza degli agenti AI vada trattata con lo stesso rigore — se non maggiore — riservato a qualsiasi altro servizio che espone comandi privilegiati in rete, anche se “in rete” significa solo 127.0.0.1.

Fonte: The Hacker News e VulnCheck Advisory, via 4sysops.