整理：TopAIMap 编辑
Vercel 百万美元沙箱逃逸挑战复盘：1,285 份报告挖出 1 个 Linux 内核零日，已付 24.2 万美元
Vercel 10-14 公布 Sandbox 挑战结果：57 份有效（1 严重/5 高危），内核网络栈零日可在生产沙箱泄露宿主内存，补丁私审中、CVE 待分配，未发现客户数据被访问。
Vercel 于 2026-10-14 发布博客（作者 Andy Riancho），公布 8 月发起的 $1M Vercel Sandbox 逃逸挑战结果：两周收到 1,285 份报告（877 重复、319 不适用、57 有效、32 informative），有效发现中 1 严重、5 高危、9 中危、42 低危，共支付 $242,000 赏金，无报告显示客户数据被访问。最严重发现来自 HackerOne 研究员 Paulos Yibelo（pwn.ai）：Linux 内核网络栈缺陷，microVM 内构造数据包可①持续泄露宿主内存（已在 Vercel 生产沙箱演示）②两个包致宿主崩溃③在宿主上以管理员权限执行代码（在研究员自建的同配置 KVM/Firecracker 环境演示）。补丁正与内核维护者、AWS 等私下评审，CVE 待分配。另有 Vercel 实习生发现 device-mapper 层可读取已删除沙箱回收磁盘块的跨租户问题；Trail of Bits 四个工程师周白盒审计交付 20 项发现。Vercel 官推约 312 赞、6.4 万曝光。
谁受影响：Vercel Sandbox 用户（基于 Firecracker microVM、常用于跑 AI Agent 生成代码与不可信代码的沙箱），Vercel 称已与研究员及 AWS 等合作缓解；更广泛地，Vercel 指出几乎所有主流云在同一内核层隔离租户，补丁公开前属于共享基础设施风险。已落地加固：快照对象绑定项目、快照创建移到宿主侧服务、禁用嵌套虚拟化、用 Firecracker jailer 限制每个 microVM 进程权限。Vercel 称如此报告量「只可能因为研究者已在用 AI 速度挖洞」。 解读：Agent 越来越多在云沙箱里执行代码，「microVM 隔离 = 安全」的假设被内核零日击穿一角；同时 1,285 份里 877 份重复，说明 AI 辅助挖洞让悬赏项目的分诊成本暴涨——防守方也必须用 AI 做分诊。 讨论：①给 AI Agent 用的代码沙箱，你更信 microVM、gVisor 还是 WASM？②AI 让漏洞报告量暴涨，Bug Bounty 平台该如何防止被重复/低质报告淹没？ 来源：Vercel Blog https://vercel.com/blog/findings-from-the-1-million-dollar-vercel-sandbox-challenge ；X @vercel https://x.com/vercel/status/2110509321939509421
