🇰🇷 한글 설명
@ai-sdk/harness-opencode 1.0.29 미만 버전에서 특정 헬퍼 스크립트 경로를 포함한 프로세스의 요청을 무조건 허용하는 권한 인증 취약점이 존재합니다. 이를 통해 샌드박스 내의 신뢰할 수 없는 코드가 모델의 승인 없이도 비밀 정보 조회, 배포, 클라우드 API 호출 등 호스트의 도구를 임의로 실행할 수 있습니다.
💡 쉬운 설명
샌드박스 안에서 실행되는 악성 코드가 원래는 허용되지 않는 컴퓨터의 중요한 기능들을 몰래 실행할 수 있는 보안 구멍이 발견되었습니다. 이로 인해 해커가 사용자의 비밀번호를 훔치거나 서버 설정을 마음대로 바꿀 위험이 있습니다.
🇺🇸 원문 (English)
The `@ai-sdk/harness-opencode` tool is an HarnessV1 adapter backed by @openai/codex-sdk, which drives the codex command line interface. Prior to version 1.0.29, the tool relay authorizes requests from any process whose command line contains an allowed helper script path (the Codex CLI shim). This allows untrusted code executing in the sandbox to invoke arbitrary host-exposed tools, including secret lookups, deployment operations, and cloud API calls without a corresponding model-authorized tool-call event. Exploitation requires a Linux environment (the vulnerable fallback checks `process.platform === 'linux'` and reads `/proc`); an active harness session with one or more host-provided tools; and untrusted code executing in the sandbox (e.g. a malicious dependency, build script, or lifecycle hook) The fix in version 1.0.29 removes the process-path authorization fallback entirely. Relay requests are now only accepted after exact, short-lived, one-time authorization matching the tool name and input from a bridge-observed model event. Some workarounds are available. Do not run the Codex harness on untrusted repositories or with untrusted dependencies, and/or limit host-exposed tools to non-sensitive operations when working with untrusted code.
📍 영향받는 시스템
@ai-sdk/harness-opencode version < 1.0.29 (Linux 환경)
⚔️ 공격 벡터
샌드박스 내의 악성 의존성이나 빌드 스크립트가 특정 경로를 포함한 명령어를 실행하여 호스트 도구에 접근
🛡️ 대응 방법
@ai-sdk/harness-opencode를 1.0.29 버전 이상으로 업데이트하거나, 신뢰할 수 없는 저장소에서 실행을 금지함
🔧 검증 코드
출력된 버전이 1.0.29 미만이면 취약한 상태이며, 1.0.29 이상이면 안전합니다.
npm list @ai-sdk/harness-opencode