重點
- 流氓代理可繞過Vercel Sandbox的網域許可清單，並將密鑰洩露至攻擊者控制的伺服器。
- 該技術將敏感資料放入特製客戶端憑證的Authority Information Access網址，促使獲准伺服器提出外部請求。
AIR表示，發現Vercel Sandbox存在漏洞，讓流氓代理繞過產品的網域許可清單，並將密鑰洩露至攻擊者控制的伺服器。
AIR表示，其測試在自己的伺服器收到遭外洩的密鑰，該伺服器並不在受信任網域清單上。
Vercel Sandbox在Firecracker微型虛擬機內運行工作負載，並可限制外向網絡存取。
mTLS及AIA讓獲准伺服器轉送資料
AIR表示，研究聚焦於雙向TLS與Authority Information Access憑證擴展之間的互動。控制受入侵代理的攻擊者可將敏感資料放入特製客戶端憑證AIA擴展內的網址。
AIR表示，沙盒會封鎖代理直接連接攻擊者伺服器。當受信任伺服器代表代理提出外部請求時，資料便會離開。
AIR表示，該技術使用標準TLS功能，並沒有利用伺服器上的漏洞。「伺服器上沒有漏洞遭利用，」該公司表示。
AIR稱沙盒無法保證資料留在內部
AIR表示，沙盒可封鎖其能看見的連接，但無法保證資料不會離開。該公司形容，沙盒本身是降低風險措施，而非安全邊界。
由於無法完全封鎖外部通訊，AIR表示，保障資料的方法是過濾通訊，並防止接觸惡意內容。
AIR表示，Vercel將該發現列為範圍以外，並不接受該報告。
AIR表示，尚未發現漏洞在現實環境遭利用的證據，但無法排除曾經遭利用的可能性。
常見問題
Vercel Sandbox發生甚麼事？
AIR發現流氓代理可繞過Vercel Sandbox的網域許可清單，並將密鑰洩露至攻擊者控制的伺服器。
Vercel Sandbox漏洞如何運作？
該技術將敏感資料放入特製客戶端憑證的AIA網址，導致獲准伺服器代表代理請求攻擊者控制的網址。
Vercel Sandbox漏洞曾在現實環境遭利用嗎？
AIR表示，尚未發現漏洞在現實環境遭利用的證據，但無法排除曾經遭利用的可能性。
Vercel Sandbox漏洞已修補嗎？
AIR表示，Vercel將其發現列為範圍以外，並不接受該報告。
來源
- VerCellBreak: How we escaped Vercel's hardened sandbox, AIR原始文件
- Cellbreak: Grist’s Pyodide Sandbox Escape and the Data-at-Risk Blast Radius, Cyera Research Labs原始文件
- Sandbox vulnerability gives rogue AI agents a path to escape and leak data, research says, The Record
- Pyodide Sandbox Escape Enables Remote Code Execution in Grist-Core, Grist-Core security team
我們如何核實這篇報道
| 內容 | 來源 | 狀態 |
|---|---|---|
| AIR發現VerCellBreak讓流氓代理繞過Vercel Sandbox的網域許可清單，並將密鑰洩露至攻擊者控制的伺服器。 | AIR | 已證實 |
| AIR表示，Vercel Sandbox使用Firecracker微型虛擬機及外向網絡限制，以限制工作負載可將資料傳送至何處。 | AIR | 已證實 |
| AIR表示，其研究發現Vercel Sandbox的網絡限制可被繞過，令不受信任伺服器收到遭外洩的密鑰。 | AIR | 已證實 |
| AIR表示，該發現涉及雙向TLS與Authority Information Access憑證擴展之間的互動。 | AIR | 已證實 |
| AIR表示，攻擊者可將敏感資料放入特製客戶端憑證的AIA網址，導致獲准伺服器請求攻擊者控制的網址。 | AIR | 已證實 |
| AIR表示，沙盒會封鎖代理直接連接攻擊者伺服器，但獲准伺服器可代表代理提出外部請求。 | AIR | 已證實 |
| AIR表示，其技術使用標準TLS功能，並沒有利用伺服器上的漏洞。 | AIR | 已證實 |
| AIR表示，沙盒無法保證資料不會離開，因為只能封鎖其能看見的連接。 | AIR | 已證實 |
| AIR表示，由於無法完全封鎖外部通訊，防禦者應過濾通訊，並防止接觸惡意內容。 | AIR | 已證實 |
| The Record報道，AIR發現Vercel Sandbox存在網絡過濾漏洞，可能讓代理將資料傳送至獲批准網絡以外。 | AIR, via The Record | 引述 |
| AIR聯合創辦人Niv Hoffman表示，該漏洞顯示即使加固的沙盒仍可能讓流氓代理逃脫，並在現實環境行動。 | Niv Hoffman, via The Record | 引述 |
| The Record報道，AIR尚未發現漏洞在現實環境遭利用的證據，但無法排除這種可能。 | AIR, via The Record | 引述 |
| Nic Adams表示，獲批准伺服器可在不知情下成為竊取憑證的運送者。 | Nic Adams, via The Record | 引述 |
| cyera.com於2026年9月9日發表報告。 | cyera.com | 已證實 |
未能核實
- 漏洞是否曾在現實環境遭利用，尚未確定。
- 受影響的Vercel Sandbox部署或代理數目，尚未確定。
- Vercel是否接受或拒絕正式漏洞報告，消息來源說法不一。
