---

一、背景说明

DeepSeek Harness（简称 DSH）是 DeepSeek 于 2026 年 8 月发布并开源的智能体（Agent）框架。其核心理念概括为：Agent = Model + Harness。

二、通报内容

漏洞名称：dsh2shell-lab (DSH) Agent PoC
危害等级：高危
受影响系统：DeepSeek-harness（DSH ）
描述：
攻击者可利用 FOFA API 对互联网上的 DSH 实例进行被动指纹探测，识别 DSH_BOOT、@deepseek-ai/dsh-等标记。随后通过 HTTP RPC 接口执行命令（如密钥提取）、建立反向 Shell (exec /bin/bash)或模拟 OpenAI SSE流以劫持会话模型。

POC：

https://github.com/ChaoMixian/dsh2shell/blob/main/dsh2shell.py

三、处置要求或建议

禁止将 DSH Harness 服务暴露于公网，仅允许受信任的内部网络访问。