• 漏洞编号：暂无
• 漏洞等级：高危
• 漏洞标签：技术细节公开、重保2026、奇安信CERT验证、关键漏洞
• 发布时间：2026-08-13

漏洞描述

DeepSeek Harness 是 DeepSeek AI 开发的开源大型语言模型 Agent 框架，支持工具调用、多平台部署和插件扩展。该项目基于 TypeScript 开发，提供 Cordis 插件系统，允许动态加载插件扩展功能，集成各类大语言模型 API，广泛应用于企业和个人构建自定义 AI 助手场景。 该漏洞源于 DeepSeek Harness 在加载 JavaScript 配置文件时，直接使用 \`import\(\)\` 动态导入用户提供的配置，未进行任何代码安全检查。攻击者可在配置文件的模块顶层代码中注入任意 JavaScript 代码，该代码会在配置加载阶段自动执行，早于任何沙箱初始化，从而完全绕过后续所有安全防护机制。

修复建议

暂无

参考链接

https://ti.qianxin.com/vulnerability/detail/487582