Die Schwachstelle betrifft die lokale HTTP-Schnittstelle zur Agentensteuerung von DeepSeek Harness. Zur Zugriffskontrolle prüft die Software nicht, woher eine Netzwerkverbindung tatsächlich stammt, sondern verlässt sich auf den vom Client selbst gesetzten Host-Header. Gibt ein Angreifer dort einfach einen Loopback-Wert an, gilt er als lokal und damit als berechtigt – eine Anmeldung ist nicht nötig. In der Standardkonfiguration kann bereits ein durch die Sandbox eingeschränkter, vom Agenten gestarteter Prozess die Schnittstelle erreichen, aus seiner Sandbox ausbrechen, sich unbeschränkte Ausführungsrechte verschaffen und die Bestätigungsabfrage für Aktionen abschalten. Ist der Port zusätzlich von außen erreichbar, etwa über einen Tunnel, eine SSH-Weiterleitung oder einen Reverse Proxy, kann ein entfernter Angreifer ohne Zugangsdaten eigene Sitzungen anlegen, beliebige Befehle ausführen und gespeicherte Gesprächsverläufe abgreifen.