重点
- 恶意代理可以绕过Vercel Sandbox的域名白名单，并将密钥泄露到攻击者控制的服务器。
- 该技术将敏感数据放入精心构造的客户端证书的Authority Information Access URL中，促使获准服务器发起外部请求。
AIR表示，它发现了Vercel Sandbox中的一个漏洞，可让恶意代理绕过该产品的域名白名单，并将密钥泄露到攻击者控制的服务器。
AIR表示，其测试在自己的服务器上收到了被外泄的密钥，该服务器不在受信任域名列表中。
Vercel Sandbox在Firecracker微型虚拟机中运行工作负载，并可以限制出站网络访问。
mTLS和AIA让获准服务器中继数据
AIR表示，该研究聚焦于双向TLS与Authority Information Access证书扩展之间的交互。控制受入侵代理的攻击者可以将敏感数据放入精心构造的客户端证书AIA扩展中的URL。
AIR表示，沙箱会阻止代理直接连接攻击者的服务器。当受信任服务器代表代理发起外部请求时，数据便会离开。
AIR表示，该技术使用了标准TLS功能，并未利用服务器上的漏洞。「服务器上没有被利用任何漏洞」，该公司表示。
AIR表示，沙箱无法保证数据留在内部
AIR表示，沙箱可以阻止它能看到的连接，但无法保证数据不会离开。它将沙箱描述为降低风险的措施，而不是单独的安全边界。
AIR表示，由于无法完全阻止外部通信，保护数据的方法是过滤通信，并防止接触恶意内容。
AIR表示，Vercel将该发现归类为不在范围内，并未接受该报告。
AIR表示，它尚未发现该漏洞在野外遭到利用的证据，但无法排除是否发生过利用。
常见问题
Vercel Sandbox发生了什么？
AIR发现，恶意代理可以绕过Vercel Sandbox的域名白名单，并将密钥泄露到攻击者控制的服务器。
Vercel Sandbox漏洞如何运作？
该技术将敏感数据放入精心构造的客户端证书AIA URL中，导致获准服务器代表代理请求攻击者控制的URL。
Vercel Sandbox缺陷是否已在野外遭到利用？
AIR表示，它尚未发现野外利用的证据，但无法排除是否发生过利用。
Vercel Sandbox漏洞是否已修复？
AIR表示，Vercel将其发现归类为不在范围内，并未接受该报告。
来源
- VerCellBreak: How we escaped Vercel's hardened sandbox, AIR原始文件
- Cellbreak: Grist’s Pyodide Sandbox Escape and the Data-at-Risk Blast Radius, Cyera Research Labs原始文件
- Sandbox vulnerability gives rogue AI agents a path to escape and leak data, research says, The Record
- Pyodide Sandbox Escape Enables Remote Code Execution in Grist-Core, Grist-Core security team
我们如何核实这篇报道
| 内容 | 来源 | 状态 |
|---|---|---|
| AIR发现，VerCellBreak可让恶意代理绕过Vercel Sandbox的域名白名单，并将密钥泄露到攻击者控制的服务器。 | AIR | 已证实 |
| AIR表示，Vercel Sandbox使用Firecracker微型虚拟机和出站网络限制，以限制工作负载可以向何处发送数据。 | AIR | 已证实 |
| AIR表示，其研究发现，Vercel Sandbox的网络限制可以被绕过，从而在不受信任的服务器上接收被外泄的密钥。 | AIR | 已证实 |
| AIR表示，该发现涉及双向TLS与Authority Information Access证书扩展之间的交互。 | AIR | 已证实 |
| AIR表示，攻击者可以将敏感数据放入精心构造的客户端证书AIA URL中，导致获准服务器请求攻击者控制的URL。 | AIR | 已证实 |
| AIR表示，沙箱会阻止代理直接连接攻击者服务器，但获准服务器可以代表代理发起外部请求。 | AIR | 已证实 |
| AIR表示，其技术使用了标准TLS功能，并未利用服务器上的漏洞。 | AIR | 已证实 |
| AIR表示，沙箱无法保证数据不会离开，因为它只能阻止自己能看到的连接。 | AIR | 已证实 |
| AIR表示，由于无法完全阻止外部通信，防御者应过滤通信并防止接触恶意内容。 | AIR | 已证实 |
| The Record报道，AIR发现Vercel Sandbox存在网络过滤缺陷，可能让代理将数据传输到获准网络之外。 | AIR, via The Record | 引述 |
| AIR联合创始人Niv Hoffman表示，该缺陷表明，即使经过强化的沙箱仍可能让恶意代理逃逸并在野外行动。 | Niv Hoffman, via The Record | 引述 |
| The Record报道，AIR尚未发现野外利用的证据，但无法排除这种可能。 | AIR, via The Record | 引述 |
| Nic Adams表示，获准服务器可能在不知情的情况下成为被盗凭据的信使。 | Nic Adams, via The Record | 引述 |
| cyera.com于2026年9月9日发布了其报告。 | cyera.com | 已证实 |
未能核实
- 该漏洞是否已在野外遭到利用尚未确定。
- 有多少Vercel Sandbox部署或代理受到影响尚未确定。
- Vercel是否接受或拒绝了正式漏洞报告，来源之间存在争议。
