沙箱逃逸验证集 zzszmyf/dsh-security-pocs

dsh-security-pocs

针对 DeepSeek Harness（deepseek-harness，版本 0.1.0-rc.5，预发布版）中发现的三个安全漏洞（外加一个链式利用）的概念验证利用代码。

每个 PoC 都运行在真实代码路径上——真实的 vendored Loader、真实的沙箱插件、真实的动态插件运行器 → 注册表流水线。没有 mock。如果某个 PoC 通过，说明漏洞存在于产品中。

完整分析报告：WRITEUP.md。

免责声明。 仅供授权的安全研究和防御目的使用。这些 PoC 已向项目方披露。请勿在您不拥有的系统上运行它们。

发现

| # | PoC | 漏洞 | 验证结果 |
| V1 | poc-v1-js-config-exec.ts | !!js 配置表达式 = 加载时的同步任意代码执行（通过 process.getBuiltinModule）。唯一的防御是沙箱写入边界，而没有任何东西针对配置目录位置对其进行校验。 | 在配置加载时写入标记 |
| V2 | poc-v2-readonly-reads.ts | “只读”沙箱模式可读取整个宿主文件系统（写入围栏仅包裹 write/edit；bwrap 配置文件为 --ro-bind / /）。插件注入没有允许列表：inject: ['fs','web'] = 读取机密 + 外泄，且默认情况下未接入任何审批。 | 机密读取成功 / 写入被拒绝 |
| V4 | poc-v4-exec-escape.ts | 动态插件 vm 沙箱将原始宿主 exec（ToolRunContext）传递给模型编写的代码；exec.agent.ctx 是真实的运行时 Context。apply(ctx) 外观已被加固，但 execute(args, exec) 路径没有。 | 沙箱代码拉取了一个宿主服务 |
| V4b | poc-v4b-exec-escape-to-rce.ts | 链式：exec 逃逸 → ctx.get('subprocess') → 无限制的宿主进程生成。沙箱隔离仅存在于 shell 层；subprocess 接缝本身对隔离无感知。无需文件写入，无需审批。 | 无限制的宿主进程写入了标记 |

端到端攻击链（V4b）：

恶意网页 / 仓库内容 / 抓取的文档 │ 提示注入 ▼ 模型调用 cordis_define + cordis_run（默认组合中零审批） │ ▼ vm 沙箱运行模型代码 → execute(args, exec) 接收到宿主 exec（guard.ts:582-584） │ ▼
exec.agent.ctx.get('subprocess').spawn(...) — 无 landlock/seatbelt/bwrap
│
▼
任意宿主进程 → 持久化（patch 文件 + !!js）→ 长期立足点

要求

- Node ≥ 22.3（process.getBuiltinModule；harness 的 engines 范围为 ^22.19 || >=24）
- pnpm
- 一份已完成 pnpm install 的 deepseek-harness 源代码检出，放置为本仓库的同级目录（或通过 DSH_CHECKOUT 指向）

git clone https://github.com/deepseek-harness/deepseek-harness.git
inside the checkout: pnpm install

运行这些 PoC 通过 harness 源码的 tsconfig 路径导入 @deepseek-ai/* 工作区包，因此必须从 harness 检出根目录运行：

cd deepseek-harness
pnpm exec tsx ../dsh-security-pocs/poc-v1-js-config-exec.ts
pnpm exec tsx ../dsh-security-pocs/poc-v2-readonly-reads.ts
pnpm exec tsx ../dsh-security-pocs/poc-v4-exec-escape.ts
pnpm exec tsx ../dsh-security-pocs/poc-v4b-exec-escape-to-rce.ts

如果检出目录位于其他位置：

DSH_CHECKOUT=/path/to/deepseek-harness pnpm exec tsx /path/to/dsh-security-pocs/poc-v4b-exec-escape-to-rce.ts

每个脚本在退出前都会清理自己的测试夹具（标记文件、临时目录）。

预期输出

poc-v1-js-config-exec.ts：

[V1] marker written at config-load time: true
[V1] marker content: "executed-at-config-load"

poc-v2-readonly-reads.ts：

[V2] read of a secret OUTSIDE the workspace under read-only mode:
"apiKey: dsh-poc-secret-value\n"
[V2] contrast — write under the same mode denied with code: FS_SANDBOX_DENIED

poc-v4-exec-escape.ts：

[V4] sandbox-realm tool code retrieved from the host Context: "HOST_SECRET_LEAKED"

poc-v4b-exec-escape-to-rce.ts：

[V4b] unconfined host process wrote marker: true

修复指导

- P0 — 向动态工具 execute 传入一个剥离了 agent.ctx 的门面 exec（guard.ts）；让 SubprocessRuntime 自我约束——该约束应属于接缝的执行点，而不是“只有 bash-sandbox 调用它”的约定。
- P1 — 对动态插件注入进行 allowlist；将 define/run 接入审批流水线；从只读模式中排除机密目录。
- P2 — 启动时检查：已加载的配置目录 ∉ 可写根目录，若重叠则大声失败。

一旦修复落地，这些脚本可直接转换为回归测试（V4 属于 cordis-host-runner/tests/，恰好覆盖 sandbox-context.spec.ts 遗漏的 exec 表面）。

时间线

- 2026-08-13 — 向项目报告了发现；PoC 和报告已发布。