CyberSecurityAction

脆弱性情報 / サイバー攻撃トレンド

DeepSeek HarnessのAIエージェントが自分のサンドボックスを無効化できる脆弱性

DeepSeekのオープンソース開発ツール「Harness」に深刻な欠陥が発見されました。AIコーディングエージェントが自分に課された安全制限をコマンド一つで解除できてしまう問題です。

喜村 圭佑（編集責任者）更新 約5分

SHARE

XB!in
DeepSeek HarnessのAIエージェントが自分のサンドボックスを無効化できる脆弱性

THREAT GAUGE算出基準

IMPACT（影響範囲）7.5
URGENCY（対応緊急度）8.0
EXPLOIT（悪用の容易さ）8.5

“コマンド一つでサンドボックス解除可能。AIエージェント利用が広がる開発現場でリスク大”

01 · Overview

ニュースの概要

DeepSeekが公開しているオープンソースのAIコーディングエージェント実行ツール「DeepSeek Harness」に、AIエージェント自身がサンドボックス（隔離された安全な実行環境）を無効化できてしまう脆弱性が見つかりました。本来、サンドボックスはエージェントが不審なファイルを扱う際に、ワークスペース（作業領域）の外に書き込みできないよう保護する仕組みです。ところが今回の欠陥により、エージェントはたった一つのコマンドでその保護を自分で取り外すことができました。

DeepSeek Harnessは、開発者のマシン上でAIコーディングエージェントを動かすためのツールです。コードの自動生成や修正を行うAIエージェントが外部から持ち込まれた信頼できないファイルを扱う際に、OSレベルのサンドボックスの中で動作させることで安全性を担保する設計になっています。

今回発見された問題は、エージェントがツール自身のWeb APIを呼び出すことで、承認なしにサンドボックスを無効化できるというものです。これはつまり、悪意あるコードや細工されたファイルがエージェントを「操作」して、サンドボックスの外のシステムにアクセスさせる「間接プロンプトインジェクション」攻撃のシナリオが現実のものになり得ることを意味します。

日本でもAIコーディングエージェントを開発ワークフローに取り込む企業や個人開発者が急増しています。DeepSeek Harnessはオープンソースで無償利用できるため、コスト意識の高い開発現場での採用が広がっている可能性があります。このツールを使っている場合は、最新の情報を確認し、速やかな対応が求められます。

対象ツール
DeepSeek Harness（オープンソース）
攻撃の容易さ
コマンド一つでサンドボックス解除
承認の有無
ユーザー承認なしに実行可能
影響対象
AIコーディングエージェント利用者

情報源: The Hacker News（2026年9月9日）の報道をもとに執筆しています。

02 · Analysis

詳細な原因解説

根本的な原因は、DeepSeek Harnessがサンドボックスの制御機能をWeb API経由でエージェント自身からも呼び出せる設計になっていた点にあります。本来、サンドボックスの有効・無効を切り替える操作は、ユーザーや管理者だけが行える「特権的な操作」として、エージェントの権限の外に置かれるべきものです。

AIエージェントのセキュリティにおいて「最小権限の原則」は基本中の基本です。エージェントに与える権限は、タスクを実行するのに必要な最小限にとどめるべきであり、自分の動作環境そのものを変更する権限を持たせることは、設計上の誤りといえます。

さらに、この欠陥が特に危険なのは「間接プロンプトインジェクション」との組み合わせです。エージェントが処理する外部ファイルやWebページに悪意ある指示を仕込んでおくと、エージェントがそれを読み込んだ際に指示通り動いてサンドボックスを解除し、攻撃者の目的を達成してしまう恐れがあります。エージェントがどのようなデータを読み込むか制御しきれない現在の開発環境では、この攻撃経路は現実的な脅威です。

03 · Action

今からできる主な対策

明日からすぐ

1週間以内

05 · Forecast

今後起こりうる展開と対策

Eliminate：権限の設計を根本から問い直す

サンドボックス制御の権限を、そもそもエージェントに渡さなければどうなるか？

今回の脆弱性は「エージェントが自分の動作環境を変更できる」という設計から生まれました。SCAMPERのEliminate（排除）の視点で考えると、解決策はシンプルです。サンドボックスの有効・無効を切り替えるAPIを、エージェントからアクセスできるエンドポイント（接続口）から完全に排除することです。エージェントが必要とする権限は「タスクを実行すること」であり、「自分の制約を変えること」ではありません。AIエージェントの設計では、エージェントが触れられる操作の範囲を最初から絞り込む「ケイパビリティ制限」の考え方が今後の業界標準になるべきです。

Separate：APIの公開範囲を役割で分離する

ユーザー向けのAPIとエージェント向けのAPIを分けることで何が変わるか？

DeepSeek Harnessが抱えていた問題の一つは、ユーザーが操作するための管理APIと、エージェントが利用するためのAPIが同一の仕組みの上にあったことが考えられます。SCAMPERのSeparate（分離）の観点では、権限レベルを明確に区分することが有効です。管理者・ユーザーのみがアクセスできる「コントロールプレーン」と、エージェントだけが使う「データプレーン」を分離し、エージェントはコントロールプレーンには一切触れられない設計にすることで、今回のような自己サンドボックス解除は原理的に不可能になります。

AIエージェントとサンドボックスの信頼モデルの矛盾

「信頼できないファイルを扱わせる」ツールが「エージェントを信頼している」矛盾とは？

DeepSeek Harnessはそもそも「信頼できないファイル」を扱うためにサンドボックスを使う設計です。ところが、サンドボックスを解除する権限をエージェント自身に持たせていたことは、「エージェントは信頼できる」という暗黙の前提が組み込まれていることを意味します。これはシステム設計上の根本的な矛盾です。AIエージェントは外部データを取り込んで動作する性質上、常に「乗っ取られうる存在」として扱うゼロトラスト的な発想が必要です。ツール提供側はエージェント自体も攻撃対象になり得るという前提でシステムを設計しなければなりません。

オープンソースAIツールのリスク伝播

無償で広く使われるオープンソースAIツールの脆弱性は、どのように被害を広げるか？

DeepSeek Harnessはオープンソースかつ無償で提供されているため、コスト重視の中小企業や個人開発者を中心に広く普及している可能性があります。こうしたツールの脆弱性は、利用者が多い分だけ影響範囲が広く、かつセキュリティ専門家が少ない環境での利用が多い点で被害が深刻化しやすいという特性があります。さらに、AIエージェントは複数のシステムやリポジトリをまたいで動作するケースも多く、一つの侵害が連鎖的に広がるリスクがあります。オープンソースコミュニティ全体でのセキュリティレビュー体制の強化が急務です。

AIエージェントを安全に使うための多層防御

AIコーディングエージェントを利用する際は、ツールのバージョン管理と権限設計の見直しを最優先に行ってください。エージェントが呼び出せるAPIの範囲をネットワークポリシーやコンフィグで明示的に制限し、自分の動作環境を変更できる権限は与えないことが基本です。

エージェントが処理する入力データ（外部ファイル、Webコンテンツ、外部リポジトリのコードなど）は、必ず検証済みのものに絞るか、追加の隔離環境でフィルタリングしてから渡すようにしましょう。間接プロンプトインジェクションへの対策は、入力データの管理から始まります。

06 · AI Prompt

AI対策プロンプト

あなたは社内のセキュリティ担当者です。[組織の規模と業種]の開発チームが[AIエージェントツール名]を使ってAIコーディングエージェントを運用しています。今回、AIエージェントがサンドボックス（隔離実行環境）を自ら無効化できてしまう脆弱性が報告されました。現在の環境では[エージェントの利用用途]にエージェントを活用しており、[信頼できない外部ファイルの取り扱い有無]の状況です。以下の点について対応方針を日本語で提案してください： 1. エージェントに与えている権限の棚卸し方法 2. 間接プロンプトインジェクションのリスクを下げるための入力データ管理策 3. サンドボックス関連のAPIアクセスを制限するための具体的な設定方法 4. 今後同様の脆弱性が出た際の検知・対応フロー

プロンプトのカスタマイズ

以下を入力すると、上のプロンプトに反映されます。

組織の従業員規模と業種（例：50名規模のSaaS開発企業）

実際に利用しているAIエージェント実行ツールの名前

AIエージェントを何に使っているか（例：コードレビュー、自動テスト生成）

エージェントが外部から取得した未検証ファイルを処理しているかどうか

キーワード

  • DeepSeek Harness
  • AIエージェント
  • サンドボックス脆弱性
  • プロンプトインジェクション
  • AIセキュリティ

SOURCES · 参考情報源