Betroffen ist ein Werkzeug, das einen Agenten über eine abgeschottete Bridge mit OpenCode verbindet. Der sogenannte Tool-Relay entscheidet, welche Anfragen er annimmt, anhand einer unzureichenden Prüfung: Er autorisiert jeden Prozess, in dessen Kommandozeile der Pfad eines erlaubten Hilfsskripts vorkommt. Dieser Rückfallmechanismus greift auf Linux-Systemen und liest dazu Prozessinformationen aus dem Dateisystem aus. Nicht vertrauenswürdiger Code, der in der Sandbox läuft – etwa eine manipulierte Abhängigkeit, ein Build-Skript oder ein Lifecycle-Hook –, kann sich so als berechtigter Aufrufer ausgeben und beliebige vom Host bereitgestellte Werkzeuge auslösen, ohne dass ein entsprechender, vom Modell autorisierter Werkzeugaufruf stattgefunden hat. Damit sind unter anderem Abfragen von Geheimnissen, Deployment-Vorgänge und Aufrufe von Cloud-APIs möglich. Voraussetzung ist eine laufende Harness-Sitzung mit mindestens einem host-seitigen Werkzeug. Die Korrektur entfernt die pfadbasierte Autorisierung und verlangt stattdessen eine exakte, kurzlebige Einmalfreigabe, die zu Werkzeugname und Eingabe eines beobachteten Modellereignisses passt. Als Behelf lässt sich der Betrieb auf nicht vertrauenswürdigen Repositories vermeiden oder die Menge der host-seitig freigegebenen Werkzeuge auf unkritische Operationen beschränken.