DeepSeek Harness：cordis 动态插件 node:vm 沙箱逃逸导致宿主机任意代码执行

[dakekoputa]

DeepSeek Harness：cordis 动态插件 node:vm 沙箱逃逸导致宿主机任意代码执行

编号：VULN-4915　类型：代码注入 / 沙箱逃逸（CWE-94）　产品：deepseek-ai/deepseek-harness　验证版本：master @ 1517a4d（v0.2.1-alpha.5，2026-10-16 最新）

漏洞描述

deepseek-harness 的 cordis 动态插件机制允许模型通过工具 cordis_define 提交任意 JavaScript（code.host），经 cordis_run 激活后在 node:vm 沙箱中执行。该沙箱以 Node API 陷阱（require/fetch/setTimeout 调用即抛错并重定向到 cordis 服务）、不暴露 process/Buffer 等手段呈现"受控执行"的外观，但沙箱全局中注入了多个宿主 realm 的函数对象（harness.defineTool、harness.registerTool、btoa、TextEncoder 等）。恶意或被提示注入的模型利用经典 node:vm 逃逸——经由 harness.defineTool.constructor.constructor 取得宿主 realm 的 Function 构造器——即可越出沙箱，获得宿主进程完整权限并执行任意命令。本漏洞已在最新 master 上实测复现：从沙箱内以宿主用户身份成功执行 /bin/sh -c id。

漏洞细节

• packages/extensions/cordis-host-runner/src/sandbox.ts（核心）
  • createSandbox()：把宿主函数（harness.defineTool 等）直接注入 vm 上下文全局——逃逸面；
  • evaluateHostCode()（约 226 行）：将模型代码原样内插进 `(async () => {\n${code}\n})()` 模板串后 runInContext 执行；vmTimeoutMs 只约束同步片段；
  • precheckCode()：全链路唯一守卫，compile-only 语法门（new Function 只解析不执行），任意可通过语法的代码原样放行；
  • 模块头注释自述 "is not containment: host-realm helper functions remain an escape route"。
• packages/extensions/cordis-host-runner/src/index.ts
  • define()：cordis_define 工具入口，仅校验非空/idPrefix 格式，无任何审批；
  • run()：host-only 包（不含 code.client）直接 activate 启动，用户审批只针对 client 半区。

触发链：模型（或提示注入驱动模型）→ cordis_define 提交恶意 code.host → precheckCode 语法门放行 → cordis_run（host-only，无审批）→ startHost → createSandbox + evaluateHostCode → 经宿主函数构造链逃逸 vm → 宿主进程 RCE。

逃逸载荷原理（即 PoC 中的恶意"插件代码"）：

// 沙箱内：process/Buffer 均为 undefined，呈现受控假象
const HostFunction = harness.defineTool.constructor.constructor // 宿主 Function
const hostProcess  = HostFunction('return process')()           // 真实宿主 process
hostProcess.binding('spawn_sync').spawn({                       // 宿主侧执行任意命令
  file: '/bin/sh', args: ['sh', '-c', 'id'], stdio: [/* pipe ×3 */] })

漏洞危害

• 宿主机任意代码执行（RCE）：模型代码获得 harness 宿主进程的全部权限（文件、网络、凭据、进程），vmTimeoutMs 对异步体无效。
• 绕过产品自身的控制面：同一产品中模型直接执行命令的 bash 工具走沙箱执行器 + 升级审批（ctx.approval），而 cordis host 半区这条路径完全无审批即得同等甚至更强的权限——对部署者构成"动态插件是受控沙箱"的误导性安全预期。
• 提示注入可达：模型处理不可信网页/文件被注入后即可触发；对"评测不可信模型"的场景等于模型天然持有宿主权限。
• 定性限制（如实）：上游在 sandbox.ts 模块注释与 SAFETY.md 中已声明该沙箱非安全边界、不得作为唯一安全控制，属已声明的设计限制而非隐藏缺陷，对外上报/CVE 价值有限；实际意义是威胁模型验证与部署加固依据（harness 必须置于一次性容器、不接触敏感凭据）。

漏洞复现步骤

1. 准备：deepseek-harness 源码（含 pnpm install 后的 node_modules，需 Node ≥ 22）与 Python 3。

2. 直接运行 PoC（默认源码路径可用 DSH_SOURCE 覆盖）：

   cd /data/dopplet/data_vuln/vuln_4915
   python3 deepseek_harness_vm_escape.py

   PoC 用产品真实模块（precheckCode/createSandbox/evaluateHostCode）走完整路径：先验证恶意载荷通过唯一守卫 precheckCode，再在真实沙箱中执行逃逸，最后核验宿主侧命令已真实执行（/tmp/dsh_vuln4915_escape_proof.txt 写入 id 结果）。

3. 或通过 Web 验证环境从局域网浏览器验证：

   ./start-env.sh          # 起 0.0.0.0:8915 验证服务
   # 浏览器打开 http://<本机内网IP>:8915，点 Trigger 触发逃逸并查看证据
   ./stop-env.sh           # 用完清理

漏洞修复

• 根本修复：放弃 node:vm 作为安全边界（V8 官方立场：vm 非隔离机制）。将动态包 host 半区的执行迁入独立进程/容器——产品已有 sandbox 执行器体系（bash 工具所用），可复用；宿主与执行体间仅以 IPC 白名单协议通信。
• 短期缓解：
  1. host 半区执行增加与 client 半区对齐的用户审批门（run() 中 host-only 包同样走 requiresApproval）；
  2. 避免向沙箱全局直接暴露宿主函数对象（经闭包包装的代理仍可被构造链逃逸，只能提高门槛，不能根除）；
  3. 文档与 UI 明示"动态插件沙箱不是安全边界"，引导部署于一次性环境。
• 部署建议：harness 宿主进程置于一次性 VM/容器，不注入敏感凭据，最小权限运行。

[dakekoputa]

4915_deepseek-ai_deepseek-harness_code_injection.zip