Bug-Bounty-Programm Vercel will seine KI-Sandbox hacken lassen

Vercel startet ein HackerOne-Programm, bei dem Sicherheitsforscher die Isolation der Sandbox angreifen sollen. Gesucht werden vor allem Wege, aus einer Firecracker-MicroVM auszubrechen, für die Vercel bis zu eine Million US-Dollar zahlt.

Vercel startete sein Bug-Bounty-Programm über die HackerOne-Plattform am 18. August 2026. Laufen soll es bis zum 1. September 2026 oder bis der Belohnungstopf, der maximal eine Million US-Dollar enthält, ausgeschöpft ist. Der Hersteller zahlt Prämien abhängig von der nachweisbaren Auswirkung einer Schwachstelle.

• Niedrige Schwere: 1.000 bis 5.000 US-Dollar

• Mittlere Schwere: 5.000 bis 10.000 US-Dollar

• Hohe Schwere: 10.000 bis 25.000 US-Dollar

• Kritische Schwachstellen: 25.000 bis 50.000 US-Dollar

• Maximalprämie pro Bericht: 50.000 US-Dollar

Die Höchstsumme pro Bericht ist für Schwachstellen vorgesehen, über die ein Angreifer Daten eines anderen Vercel-Mandanten lesen oder verändern kann. Die kurze Laufzeit und der hohe Gesamtbetrag deuten auf eine konzentrierte Sicherheitsprüfung hin. Vercel erklärt, die eigenen Grenzen seiner Lösung proaktiv und öffentlich testen zu wollen, bevor Angreifer dies tun.

Psychische Belastung

cURL stoppt Bug-Bounty-Programm wegen KI-generierten Falschmeldungen

MicroVM und Netzwerkgrenze im Fokus

Das 2015 gegründete US-Unternehmen ist vor allem für seine Plattform für Entwicklung, Deployment und Betrieb von Webanwendungen bekannt und entwickelt unter anderem das JavaScript-Framework Next.js. Vercel positioniert sich zunehmend auch als Infrastrukturplattform für KI‑Anwendungen und -Agenten.

Die Sandbox des Anbieters ist für KI-Agenten und andere Workloads konzipiert, die nicht vertrauenswürdigen Code ausführen müssen. Jede Sandbox läuft laut Hersteller auf einem Bare-Metal-EC2-Host in einer eigenen Firecracker-MicroVM mit separatem Gastkernel. Innerhalb der MicroVM wird der vom Nutzer bereitgestellte Code in einem Linux-Container ausgeführt. Die eigentliche Sicherheitsgrenze ist nach Darstellung von Vercel nicht der Container, sondern die MicroVM. Der Anbieter geht dabei davon aus, dass Code innerhalb der Sandbox vollständig feindlich ist, also Root-Rechte im Container und umfassenden Zugriff auf den Gastkernel besitzt.

Im Bereich Compute sucht Vercel nach Möglichkeiten, die Firecracker-MicroVM zu verlassen, den EC2-Host zu erreichen oder auf Sandboxes anderer Mandanten zuzugreifen. Ebenfalls im Scope sind Angriffe, die Code in einer fremden Sandbox ausführen, Daten dort lesen oder verändern oder eine andere Sandbox zum Absturz bringen können. Der zweite Schwerpunkt liegt auf der Netzwerkgrenze. Die Sandbox-Firewall wird auf dem Host außerhalb der MicroVM durchgesetzt. Sie prüft ausgehende TCP- und DNS-Verbindungen gegen vom Betreiber definierte Domain- und CIDR-Regeln und kann Zugangsdaten an der Grenze bereitstellen, ohne sie in die MicroVM zu geben.

Pwn2Own Berlin 2026

KI verkürzt das Patch-Fenster auf Stunden

Live-Proof-of-Concept erforderlich

Belohnt werden unter anderem Möglichkeiten, diese Firewall zu umgehen, nicht freigegebene Ziele zu erreichen, Daten abfließen zu lassen oder vermittelte Zugangsdaten abzurufen. Container-Namespace-Ausbrüche, die lediglich das Gastbetriebssystem der MicroVM erreichen, sind dagegen ausdrücklich nicht im Scope.

Für eine Auszahlung verlangt Vercel einen reproduzierbaren Live-Proof-of-Concept. Reine Ergebnisse aus statischer Analyse reichen nicht aus. Sicherheitsforscher sollen eine Sandbox mit dem SDK @vercel/sandbox starten und die Auswirkungen eines Boundary Breaks demonstrieren.

Vercel kündigte an, bestätigte Funde zu beheben und nach Abschluss des Programms die entdeckten Angriffstechniken sowie ausgelieferte Fixes zu dokumentieren. Die Erkenntnisse sollen dauerhaft in die Sicherheitsarchitektur der Sandbox einfließen.

Null-Byte umgeht Netzwerk-Allowlist in Claude Code

Sandbox-Bypass öffnet Claude Code für Prompt-Injection-Angriffe

(ID:50933136)