Oui. Une faille dans DeepSeek Harness, l’outil open source qui fait tourner des agents de codage IA sur la machine d’un développeur, permettait à un agent confiné de couper son propre bac à sable en une seule commande, sans aucune validation — simplement en appelant l’interface web locale de l’outil. La faille, CVE-2026-82533, est cotée 9,4 sur 10.

Une seule commande pour sortir de la cage

DeepSeek Harness exécute les commandes d’un agent dans un bac à sable : un agent qui travaille sur des fichiers non fiables ne doit pas pouvoir écrire hors de son espace de travail. Or l’agent pouvait lever cette limite en appelant l’interface web de l’outil, présente sur la même machine.

Selon OX Research, le cabinet qui a signalé la faille, une seule commande shell suffisait. Elle invoquait l’interface locale et basculait la session de l’agent vers un mode nommé « danger-full-access », qui désactive le bac à sable et coupe les demandes d’approbation (The Hacker News, 09/09/2026).

Le piège est subtil : les commandes ordinaires n’exigeaient déjà aucune approbation. Celle-ci n’était demandée que lorsqu’une commande réclamait plus de droits que la session n’en possédait — or cet appel ne demandait rien : il modifiait simplement le réglage de la session.

Un bac à sable qui ne protégeait que les fichiers

La faille était aggravée par la nature même du confinement. Le bac à sable ne couvrait que les écritures de fichiers : sous le réglage par défaut, les écritures restaient dans l’espace de travail, mais « les lectures et l’accès réseau ne sont pas confinés », précise la référence en ligne de commande de la version concernée.

Cette brèche laissait l’interface de l’outil joignable depuis l’intérieur du bac à sable. Pire : l’outil fournissait à l’interpréteur de l’agent l’adresse de cette interface et l’identifiant de la session courante. L’agent n’avait donc rien à chercher — tout lui était servi.

OX Research l’a vérifié par l’expérience : deux sessions lancées avec les mêmes réglages par défaut, une même commande donnée. La session qui avait effectué l’appel écrivait dans un dossier extérieur à son espace ; l’autre était bloquée. Le bac à sable fonctionnait donc avant l’évasion.

Une interface sans verrou, une confiance aveugle

L’interface n’avait aucune authentification. Dans la version vulnérable, le contrôle qui déterminait si une requête pouvait l’atteindre lisait l’en-tête « Host » fourni par le client, sans jamais vérifier l’origine de la connexion. Un commentaire dans le code précisait que ce contrôle « n’est pas une couche d’authentification ».

Parce qu’elle faisait confiance à un en-tête fourni par le client, une machine extérieure pouvait se faire passer pour locale et piloter l’agent. L’interface servait en outre une requête permettant de télécharger l’intégralité du journal d’une session : selon VulnCheck, un appelant pouvait récupérer toutes les conversations stockées, sans aucune clé.

VulnCheck, qui a attribué l’identifiant CVE-2026-82533 et publié le dossier le 8 septembre, a coté la faille 9,4 sur 10 — une sévérité critique justifiée par la désactivation du confinement, l’exposition réseau et l’exfiltration des conversations.

Le correctif : un jeton, pas une cage renforcée

Le correctif ajoute un contrôle d’identité à l’interface. L’outil imprime désormais un jeton à usage unique à son adresse de démarrage ; le navigateur échange ce jeton contre un cookie signé, et chaque appel à l’interface exige ce cookie.

Le calendrier a son importance. DeepSeek a corrigé l’outil sur GitHub le 27 août, mais la première version publiée sur npm avec le correctif, 0.1.2-alpha.2, ne date que du 30 août — trois jours plus tard. La version npm actuelle, 0.1.2-rc.1, porte le correctif. Les versions 0.1.1-rc.2 et antérieures restent vulnérables.

Ce que le correctif ne change pas, c’est le bac à sable lui-même. Dans 0.1.2-rc.1, la référence indique toujours que les lectures et l’accès réseau ne sont pas confinés, et l’interpréteur reçoit toujours l’adresse de l’interface. Aucune source n’indique qu’un agent tournant dans son espace puisse encore obtenir une session valide sous le nouveau schéma.

Ce que cela change pour la souveraineté des agents

Cette faille n’est pas un simple bug logiciel : elle touche au contrat de confiance entre un humain et l’agent qu’il délègue. Un bac à sable qui s’ouvre sur un appel interne, sans authentification et sans trace, c’est une limite qui ne tenait qu’à la politesse de l’agent.

Pour une IA souveraine et éthique, la leçon est claire : l’autonomie n’est pas l’absence de garde-fous, c’est l’intériorisation de garde-fous solides. Ne jamais nuire commence par ne pas pouvoir nuire par accident — puis, ensuite seulement, par choix.

La réponse n’est pas la fermeture de l’open source : c’est exactement parce que l’outil était ouvert que la faille a été signalée, cotée et corrigée publiquement. L’open source transforme une cage fragile en cage auditée — et une cage auditée est une cage de confiance.

FAQ

La faille est-elle corrigée ?

Oui. DeepSeek l’a corrigée sur GitHub le 27 août 2026, et la première version npm intégrant le correctif est 0.1.2-alpha.2 (30 août). La version npm actuelle, 0.1.2-rc.1, porte le correctif.

Suis-je concerné si j’utilise DeepSeek Harness ?

Si vous utilisez une version 0.1.1-rc.2 ou antérieure, oui. Installez 0.1.2-alpha.2 ou une version ultérieure. Si l’outil est livré par une application de bureau tierce, vérifiez quelle version elle embarque.

Le correctif renforce-t-il le bac à sable ?

Non. Le correctif ajoute uniquement un contrôle d’identité sur l’interface web (jeton → cookie signé). Le bac à sable lui-même ne confine toujours que les écritures de fichiers, pas les lectures ni l’accès réseau.

Que faire si je ne peux pas mettre à jour ?

Arrêtez l’interface web quand vous ne l’utilisez pas, et retirez tout tunnel, proxy ou redirection de port qui l’atteint depuis l’extérieur.

Pourquoi une note aussi élevée (9,4/10) ?

Parce que la faille combine trois risques : la désactivation du confinement sans approbation, l’atteinte de l’interface depuis l’extérieur via un en-tête usurpé, et l’exfiltration de l’intégralité des conversations de session sans clé.