Spcnet.it

2026-09-10 11:05:13

CVE-2026-82533: la falla in DeepSeek Harness che lasciava agli agenti AI le chiavi della propria sandbox

Gli agenti AI per la scrittura di codice promettono di automatizzare interi flussi di sviluppo, ma per farlo hanno bisogno di eseguire comandi shell, modificare file e talvolta chiamare API esterne in totale autonomia. Per questo motivo i tool più seri li fanno girare dentro una sandbox: un ambiente isolato che limita cosa l’agente può leggere, scrivere o eseguire, con un sistema di approvazione umana per le operazioni più rischiose. Una vulnerabilità critica scoperta in DeepSeek Harness, il tool open source di DeepSeek per eseguire coding agent in locale, dimostra però quanto sia fragile questo modello quando il “guardiano” della sandbox è raggiungibile senza autenticazione. Con un singolo comando shell, l’agente stesso poteva disattivare le proprie restrizioni — bypassando sia il file-sandbox sia i prompt di approvazione.

Cos’è DeepSeek Harness e come funziona la sua sandbox

DeepSeek Harness espone un’interfaccia web locale che funge da pannello di controllo per la sessione dell’agente: consente di monitorare l’esecuzione, approvare le azioni sensibili e, soprattutto, gestisce lo stato di sicurezza della sandbox. Come molti tool della stessa categoria, l’harness fornisce all’agente stesso l’indirizzo di questa interfaccia e l’identificativo di sessione, così che possa interagirci per richiedere operazioni o notificare eventi.

È proprio questa combinazione — interfaccia locale privilegiata + agente che ne conosce i dettagli di accesso — ad aver reso possibile l’attacco.

Il meccanismo della vulnerabilità (CVE-2026-82533)

La falla, tracciata come CVE-2026-82533 con un punteggio CVSS 9.4 (critico) e classificata come CWE-807 (“Reliance on Untrusted Inputs in a Security Decision”), nasce dalla combinazione di tre debolezze distinte:

• Nessuna autenticazione sull’API web locale del control-plane: chiunque potesse raggiungere l’endpoint poteva invocarlo senza credenziali.
• Validazione errata dell’origine della richiesta: il servizio si fidava del valore Host fornito dal client invece di verificare l’effettiva origine della connessione TCP (host header spoofing).
• Superficie di attacco esposta all’agente stesso: dato che l’harness comunica all’agente indirizzo e session ID dell’interfaccia, un agente compromesso (ad esempio tramite prompt injection da codice o output di terze parti) aveva già tutto ciò che serviva per attaccare il proprio control-plane.

Sfruttando lo spoofing dell’header Host, un attore malevolo — o l’agente stesso se manipolato — poteva raggiungere l’interfaccia in loopback e inviare una richiesta che impostava la sessione in modalità danger-full-access. Questo stato elimina la sandbox sul filesystem e disattiva i prompt di conferma per le operazioni sensibili. Con questo accesso era inoltre possibile invocare direttamente endpoint privilegiati come commands/execute e leggere le conversazioni salvate in sessione, senza mai fornire una credenziale.

Versioni interessate e correzione

Le versioni 0.1.1-rc.2 e precedenti sono vulnerabili. Il fix introduce un’autenticazione a token monouso per l’interfaccia locale: al momento dell’avvio, il tool stampa un token che il browser scambia con un cookie firmato, richiesto da quel momento per ogni chiamata al control-plane.

Versione	Stato
≤ 0.1.1-rc.2	Vulnerabile
0.1.2-alpha.1	Fix pubblicato solo su GitHub (non su npm)
0.1.2-alpha.2	Prima release corretta pubblicata su npm
0.1.2-rc.1 (corrente)	Consigliata per l’aggiornamento

È importante notare il dettaglio sulla distribuzione: chi installa il pacchetto da npm senza controllare la versione esatta rischiava di restare esposto anche dopo l’annuncio della patch, perché la prima correzione non era disponibile su quel registro.

Non è un caso isolato: un problema architetturale

La vulnerabilità era già stata segnalata autonomamente dalla community su GitHub Discussions il 13 e 14 agosto, prima ancora del report ufficiale a VulnCheck (24 agosto) da parte di OX Research. Analisi successive hanno evidenziato pattern simili — API di controllo locali prive di autenticazione solida, affidamento eccessivo sull’header Host o su altri dati forniti dal client — anche in altri framework per agenti AI, tra cui LangChain, CrewAI e Google ADK. Il messaggio per chi lavora con questi strumenti è chiaro: la logica di orchestrazione e di esecuzione tool-calling degli agenti AI è oggi un’area con superficie di attacco ancora immatura, non un caso isolato di un singolo progetto.

Come proteggersi

Per chi gestisce infrastrutture dove girano coding agent locali (server di sviluppo condivisi, VM CI/CD, workstation con accesso a repository sensibili) valgono alcune raccomandazioni pratiche:

• Aggiornare immediatamente DeepSeek Harness alla versione 0.1.2-rc.1 o successiva, verificando che il pacchetto installato provenga effettivamente da npm e non da una cache vecchia.
• Verificare l’esposizione delle API locali: controllare che le porte del control-plane non siano raggiungibili da reti diverse dal loopback, e che non ci siano tunnel, reverse proxy o port-forwarding che le espongano inavvertitamente (es. tramite VS Code Remote, SSH -L o container con rete condivisa).
• Rivedere le sessioni e le conversazioni eventualmente esposte durante il periodo di vulnerabilità, specialmente se contenevano segreti, token o codice proprietario.
• Applicare il principio del minimo privilegio agli agenti: eseguirli con utenti dedicati a permessi limitati, evitando di lanciarli con lo stesso utente che ha accesso a credenziali cloud o chiavi SSH.
• Non fidarsi della sola autenticazione basata su header HTTP per servizi locali critici: preferire token generati a runtime, socket Unix con permessi ristretti, o mutui TLS quando possibile.

Conclusione

Il caso DeepSeek Harness è un promemoria utile per chi sta integrando agenti AI autonomi nei propri flussi di sviluppo o di sistema: la sandbox è utile solo quanto il meccanismo che la protegge, e un’interfaccia di controllo locale non autenticata è, di fatto, una porta sul retro. Con CVSS 9.4 e un percorso di sfruttamento che richiede solo un comando HTTP verso localhost, questa vulnerabilità mostra come la sicurezza degli agenti AI vada trattata con lo stesso rigore — se non maggiore — riservato a qualsiasi altro servizio che espone comandi privilegiati in rete, anche se “in rete” significa solo 127.0.0.1.

Fonte: The Hacker News e VulnCheck Advisory, via 4sysops.

DeepSeek Harness Flaw Let AI Agents Disable Their Own File Sandbox Without Approval

A DeepSeek Harness flaw let attacker-supplied text push AI agents to disable the file sandbox; fixed npm releases start at 0.1.2-alpha.2.

^{The Hacker News}

(in)sicurezza digitale

2026-09-10 11:06:26

Xinbi Guarantee: il Tesoro USA smantella l’erede da 24 miliardi di dollari di Huione Guarantee

Si parla di:
Toggle

Il Tesoro USA e il Dipartimento di Giustizia hanno colpito uno dei più grandi mercati neri del crimine informatico mai smantellati: Xinbi Guarantee, piattaforma su Telegram che secondo la società di blockchain intelligence Elliptic ha movimentato almeno 24 miliardi di dollari in transazioni criminali, diventando il secondo marketplace illecito più grande della storia dopo il suo predecessore, Huione Guarantee.

L’azione, annunciata il 9 settembre 2026, unisce sanzioni OFAC del Tesoro e un mandato di sequestro del DOJ contro i canali Telegram della piattaforma, con il congelamento di 52,8 milioni di dollari distribuiti su 52 wallet collegati a Xinbi e alla sua rete di venditori, più altri 12 milioni sequestrati da due portafogli usati per raccogliere i pagamenti dei fornitori. Un colpo pesante, ma che arriva dentro un ecosistema criminale che si è dimostrato capace di rigenerarsi nel giro di poche settimane.

Dall’ombra di Huione: la “garanzia” per il crimine informatico asiatico

Per capire cos’è Xinbi bisogna partire dal suo predecessore. Huione Guarantee era il marketplace di riferimento per il cybercrime cinese e del sud-est asiatico: una sorta di eBay del crimine organizzato digitale, dove migliaia di venditori offrivano servizi di riciclaggio, dati personali rubati, strumenti di deepfake e infrastrutture per le truffe romantico-finanziarie note come pig butchering. Il meccanismo era quello dell’escrow: la piattaforma “garantiva” (da cui il nome) che acquirente e venditore si sarebbero scambiati denaro e servizi senza fregature, funzionando come camera di compensazione per un’economia criminale che altrimenti non potrebbe fidarsi di sé stessa.

Sotto la pressione internazionale, Telegram ha chiuso i canali di Huione, che nella sua vita operativa aveva gestito circa 31 miliardi di dollari. Ma lo spazio lasciato libero non è rimasto vuoto: Xinbi Guarantee, fondata nel 2022 e già operativa in parallelo, ne ha semplicemente raccolto l’eredità, arrivando a ospitare oltre 4.600 fornitori di servizi criminali al momento dell’intervento delle autorità USA.

Come funzionava: USDT, Tron e un catalogo del crimine su abbonamento

Operativamente, Xinbi elaborava pagamenti esclusivamente in Tether USDT sulla blockchain Tron, lo standard de facto per il riciclaggio su larga scala in Asia grazie a commissioni contenute e velocità di transazione. Sul catalogo della piattaforma comparivano servizi di riciclaggio di denaro, vendita di dati personali rubati (dai documenti d’identità ai dataset finanziari), strumenti di deepfake per superare le verifiche KYC dei servizi finanziari, e il coordinamento di intere operazioni di pig butchering — le truffe sentimentali-finanziarie che, spesso gestite da lavoratori vittime di tratta negli hub del sud-est asiatico, hanno drenato miliardi di dollari da vittime in tutto il mondo.

Il Tesoro ha collegato la piattaforma a due entità già designate in precedenti round di sanzioni: Jin Bei Group Co., Ltd. e la galassia di Prince Group TCO, organizzazione transnazionale che il governo statunitense associa ai compound di scam nel sud-est asiatico. Non solo: secondo le autorità, la piattaforma sarebbe stata utilizzata anche da hacker nordcoreani per monetizzare parte dei proventi delle loro operazioni, un dettaglio che conferma quanto questi mercati neri funzionino da infrastruttura condivisa tra cybercrime finanziariamente motivato e attori state-sponsored.

Il ruolo di Tether e la reazione a caldo degli operatori

Un elemento interessante dell’operazione è la collaborazione diretta di Tether, che ha congelato i due wallet usati per i pagamenti ai fornitori non appena notificata dalle autorità. La reazione della rete criminale è stata immediata: secondo i dati raccolti dagli analisti, Xinbi ha convertito rapidamente circa 2,8 milioni di dollari di USDT residuo in USDD, uno stablecoin alternativo meno soggetto a congelamento centralizzato — segno che gli operatori di queste piattaforme monitorano attivamente il rischio regolatorio e sono pronti a migrare liquidità in tempo reale non appena percepiscono una minaccia.

Un pattern che si ripete: la geografia del “whack-a-mole”

Il caso Xinbi si inserisce in una traiettoria di enforcement che il DOJ ha intensificato dalla creazione, a novembre 2025, di una task force dedicata alle truffe online, seguita ad agosto 2026 dallo smantellamento di 13 centri operativi in Madagascar collegati alla stessa economia criminale. Ma la storia di Huione che rinasce come Xinbi suggerisce che sequestrare wallet e chiudere canali Telegram, per quanto necessario, non basta a smontare l’infrastruttura di fondo: finché esisteranno compound fisici nel sud-est asiatico dove la manodopera (spesso ridotta in schiavitù) continua a operare le truffe, un nuovo “Guarantee marketplace” è pronto a emergere entro poche settimane dal precedente.

Due righe per i difensori

• Le aziende che offrono servizi finanziari o KYC dovrebbero considerare la presenza di strumenti deepfake commerciali a basso costo come rischio concreto e non più teorico nei flussi di onboarding remoto.
• I team anti-frode dovrebbero monitorare pattern di transazione USDT-TRON verso wallet neo-creati come indicatore di possibile riciclaggio legato a piattaforme di questo tipo.
• Le organizzazioni con dipendenti esposti a contatti social/dating non richiesti dovrebbero rafforzare la formazione su pig butchering, che resta uno dei vettori di frode finanziaria in più rapida crescita a livello globale.
• Il monitoraggio delle sanzioni OFAC aggiornate resta essenziale per i compliance team con esposizione a controparti asiatiche in criptovalute.

Indicatori e riferimenti

Piattaforma: Xinbi Guarantee (Telegram-based marketplace, fondata 2022)
Predecessore: Huione Guarantee (chiuso, ~31 miliardi USD movimentati)
Volume stimato Xinbi: almeno 24 miliardi USD in transazioni
Fornitori attivi al momento del takedown: 4.600+

Asset sequestrati/congelati:
- 52,8 milioni USD da 52 wallet (rete Xinbi + merchant)
- 12 milioni USD da 2 wallet di raccolta pagamenti

Valuta principale: USDT (Tether) su blockchain TRON
Migrazione post-freeze: ~2,8 milioni USD convertiti in USDD

Entità sanzionate OFAC (9 settembre 2026):
- Jin Bei Group Co., Ltd.
- Prince Group TCO

Azioni: sanzioni Treasury/OFAC + mandato di sequestro DOJ sui canali Telegram
Collaborazione: Tether (congelamento wallet)

usa

^{insicurezzadigitale.com}