Thought Leadership
Vercels Millionen-Dollar-Challenge für seine Sandbox brachte 1.285 Berichte und zwei Linux-Kernel-Schwachstellen ans Licht.
Der Cloud-Anbieter Vercel hat die Ergebnisse eines zweiwöchigen Bug-Bounty-Programms für seine Sandbox-Umgebung veröffentlicht, mit dem das Unternehmen Sicherheitsforscher gezielt zum Ausbrechen aus der Isolierungsumgebung aufgefordert hatte. Die Vercel Sandbox, eine auf der Virtualisierungstechnik Firecracker basierende Micro-VM, dient dazu, nicht vertrauenswürdigen Code von KI-Agenten sicher auszuführen. Vom 18. August bis zum 1. September 2026 lobte Vercel dafür ein Preisgeld von insgesamt 1 Million US-Dollar aus, ausgeschrieben sowohl an Forscher der Plattform HackerOne im Blackbox-Verfahren als auch an Ingenieure des Sicherheitsunternehmens Trail of Bits mit Zugriff auf den Quellcode.
Über tausend Einreichungen in zwei Wochen
Innerhalb der zwei Wochen gingen bei Vercel 1.285 Meldungen ein. Die abschließende Prüfung läuft nach Angaben des Unternehmens noch bis zum 1. Oktober, bislang wurden 1 kritische, 7 hoch eingestufte, 15 mittlere, 49 niedrige und 19 rein informative Meldungen bestätigt, mit bereits zugesagten Auszahlungen von rund 325.000 US-Dollar. In keinem der geprüften Fälle gelang es den Teilnehmenden, tatsächlich auf Kundendaten zuzugreifen.
Zwei Schwachstellen im Linux-Kernel
Der aus Sicht von Vercel bedeutendste Fund betraf nicht die eigene Software, sondern zwei voneinander unabhängige Schwachstellen im Netzwerk-Stack des Linux-Kernels selbst: Eine ermöglicht das Auslesen von Speicherinhalten aus dem Kernel des Host-Systems, die andere führt zuverlässig zum Absturz des Hosts. Da viele große Cloud-Anbieter Kundenworkloads über dieselbe Kernel-Ebene voneinander isolieren, hätten die Schwachstellen potenziell weitreichende Auswirkungen gehabt. Durch das Bug-Bounty-Programm erfuhr Vercel eigenen Angaben zufolge zwei Wochen früher von den Lücken als die eigentlichen Kernel-Maintainer. Die Details hält das Unternehmen zurück, bis entsprechende CVE-Einträge und Patches öffentlich vorliegen.
Architekturempfehlungen und automatisierte Prüfung
Die beiden Trail-of-Bits-Ingenieure identifizierten im Whitebox-Verfahren insgesamt 20 Befunde; nach Einschätzung von Vercel lag der größere Nutzen jedoch in ihren strukturellen Empfehlungen. Diese liefen im Kern darauf hinaus, der virtuellen Maschine grundsätzlich zu misstrauen: Werte, die aus der Sandbox an die Steuerungsebene zurückgegeben werden, sollten serverseitig neu ermittelt oder kryptografisch signiert werden, statt ungeprüft übernommen zu werden.
Wegen der hohen Zahl an Einreichungen entwickelte Vercel zudem ein eigenes, agentenbasiertes System zur Vorprüfung eingehender Berichte, das automatisiert nach Duplikaten sucht, den Quellcode durchsucht und eingereichte Proof-of-Concept-Exploits in einer echten Sandbox-Instanz ausführt; ein Mensch prüft laut Vercel nicht mehr jede einzelne Entscheidung. Das Unternehmen kündigte an, dieses Triage-System, das auf dem Modell Kimi K3 läuft, als Open Source zu veröffentlichen.
(red)
