Vercel Sandbox: US$242K en premios y un día cero en Linux

¿Qué encontró el reto de US$1M de Vercel Sandbox?

Vercel pagó US$242.000 en recompensas tras recibir 1.285 reportes en dos semanas de reto público sobre Vercel Sandbox, su entorno de ejecución aislado. El hallazgo más grave no fue un error propio de la compañía: fue un defecto en el kernel de Linux que, según la propia firma, afecta a casi todos los proveedores de nube.

Para un founder que corre agentes de IA o código de terceros en infraestructura ajena, la pregunta de fondo es una sola: qué tan sólida es la frontera que separa tu workload del de otro cliente. El reto se lanzó en agosto con US$1M en premios y coordinación con los expertos en ciberseguridad de Trail of Bits.

El día cero en el kernel de Linux: qué permite exactamente

El reporte clave llegó el tercer día. Paulos Yibelo (pwn.ai), investigador de HackerOne, trabajaba desde un sandbox estándar sin accesos especiales cuando encontró un defecto en la pila de red del kernel de Linux. Con paquetes especialmente construidos y enviados desde dentro de la microVM, habilitó tres ataques distintos:

• Filtrar memoria del host a través de la red
• Tumbar la máquina host
• Ejecutar código en el host

El primer ataque se demostró contra sandboxes de producción de Vercel: memoria del host —la máquina que tu sandbox comparte con otros inquilinos— aparecía en los paquetes que el guest enviaba a internet, de forma continua mientras siguiera enviando. Los otros dos se probaron en máquinas KVM y Firecracker propias del investigador, con la misma configuración de Vercel Sandbox. Con dos paquetes, Yibelo tumbó el host y con él todos los sandboxes que corrían encima; con la misma falla, ejecutó comandos con privilegios de administrador, rompiendo el límite de aislamiento.

Vercel coordinó con AWS y otros socios de la industria para priorizar el arreglo, y el investigador contactó a los mantenedores del kernel para crear parches candidatos. Los parches siguen en revisión privada y los CVE están pendientes, por lo que la compañía no publica más detalles. Sí confirmó la existencia de la vulnerabilidad porque ya se había divulgado en público.

La recompensa de US$50.000 y el debate sobre cuánto vale un fallo así

Cybernews reportó que Yibelo recibió US$50.000, el monto máximo del reto de US$1M. La cifra generó ruido en la comunidad: varios ingenieros señalaron que un fallo de ese calibre se paga mucho más en el mercado gris, y el propio CTO de Vercel, Malte Ubl, sugirió la necesidad de un fondo que premie vulnerabilidades que impactan a todos —cada hyperscaler, cada laboratorio de IA, cada empresa del planeta—.

El antecedente que da contexto también lo trae Cybernews: Hyunwoo Kim, quien descubrió el escape guest-to-host de KVM conocido como Januscape, recibió US$250.000 en el programa KVMCTF de Google. La comparación es incómoda para cualquier programa de bounties y deja una lección para quien diseña uno: el monto comunica cuánto valoras el riesgo que te están evitando.

La fuga de disco entre inquilinos que nadie puso en el menú

No todos los hallazgos vinieron de afuera. Marcos Hernanez, interno de Vercel, encontró una fuga de datos entre inquilinos en la capa de almacenamiento device-mapper de Linux: cualquier sandbox podía leer bloques de disco reciclados de sandboxes ya eliminados.

El reporte que la compañía destaca como su favorito llegó el primer día. Al crear un snapshot, el plano de control registraba dónde quedaron los datos —{storage_url, size, checksum}— pero esa respuesta venía de software que corría dentro del guest, y los servicios del host la tomaban como válida. El investigador interceptó la respuesta dentro de su propio sandbox, la reescribió y cruzó los objetos de almacenamiento de dos snapshots de dos cuentas que él mismo controlaba. Restaurar «tu» snapshot materializaba el sistema de archivos completo de la otra cuenta, con lectura y modificación de archivos verificadas por hashes.

Los límites importan: apuntar el ataque a una víctima específica exigía conocer su clave interna de almacenamiento, un identificador aleatorio de 96 bits que la plataforma genera por snapshot y nunca expone por API. El investigador era dueño de ambas cuentas, y no hubo una ruta demostrada para que un desconocido atacara a otro inquilino. Aun así Vercel lo trató como prioridad: el arreglo salió en una semana y el plano de control ahora ata cada objeto de snapshot al proyecto que lo creó.

1.285 reportes en dos semanas: el ruido también es señal

El desglose del reto dice bastante sobre cómo se investiga seguridad hoy:

• 877 duplicados
• 319 no aplicables
• 57 válidos
• 32 informativos

De los válidos, Vercel confirmó 1 hallazgo crítico, 5 altos, 9 medios, 42 bajos y 32 informativos. La compañía atribuye ese volumen a que los investigadores ahora cazan a velocidad de IA: agentes que barren superficies enteras y generan reportes en masa.

Para quien opera un producto, el dato es un aviso. Si abres un programa de bounties, prepárate para que la mayoría del volumen sea ruido —y para tener un triaje capaz de separar lo que importa—. Vercel también sumó evaluaciones internas y una revisión white-box de Trail of Bits, que dedicó cuatro semanas-ingeniero dentro del código con acceso total a los repositorios y entregó 20 hallazgos, cada uno probado y referenciado al código exacto.

El aislamiento por microVM, el nuevo campo de batalla de los agentes de IA

El contexto de mercado va en la misma dirección. Docker lanzó sus Cloud Sandboxes el 24 de septiembre de 2026, con aislamiento por microVM y capacidad de 1 a 16 vCPU, y su presidente Mark Cavage afirmó que los contenedores clásicos «no fueron diseñados para el nivel de aislamiento que exigen los agentes de IA». La diferencia con Vercel es que, según ADTmag, Docker no presentó resultados de pruebas de seguridad independientes en su anuncio.

Es decir: el aislamiento dejó de ser un detalle de infraestructura y pasó a ser una decisión de producto. Cuando tu agente instala software o ejecuta código que no escribiste, la frontera entre ese código y tu base de datos es la que define tu exposición real.

¿Qué significa esto para tu startup?

Tres cosas concretas.

Primero, no confíes en nada que cruce la frontera del guest. La recomendación estructural que Trail of Bits le dio a Vercel aplica a cualquier producto que ejecute código de terceros: si tu plano de control acepta valores devueltos por software que corre dentro del entorno no confiable, esos valores son input del inquilino. Todo lo que cruce el límite debe derivarse del lado del servidor o firmarse con una clave que el guest no pueda alcanzar.

Segundo, una política, un decisor. Vercel tenía la aplicación de egreso repartida en varios subsistemas que parseaban la misma política de red por separado, y no siempre coincidían. Si tu producto aplica reglas de acceso en más de un lugar, esa divergencia es una vulnerabilidad esperando su turno. Unifica la canonicalización por tipo de dato y revalida las conexiones cuando cambie la política.

Tercero, asume el próximo día cero. Ninguna frontera de virtualización es perfecta. Lo que puedes controlar es el daño posterior: mantén los kernels al día, desactiva la virtualización anidada si no la necesitas y corre cada proceso de microVM con permisos restringidos y aislado del resto del host.

Y una cuarta, de gestión: si lanzas un programa de recompensas, define el monto pensando en el costo de lo que evitas, no en lo que te ahorras. El caso de Vercel muestra que un reto público encuentra cosas que una auditoría interna no ve —el fallo de snapshot lo marcó Trail of Bits por su lado, desde un ángulo completamente distinto—, pero también que el precio de la recompensa se vuelve parte de la conversación pública.

Conclusión

El reto de Vercel Sandbox dejó un resultado incómodo y útil a la vez: la frontera de virtualización aguantó el escrutinio arquitectónico, pero el kernel de Linux por debajo falló, y ese kernel lo comparten casi todos los proveedores de nube. La lección para un founder no es dejar de usar sandboxes, sino entender que el aislamiento es una cadena: la parte más débil define tu exposición real. Revisa qué confías del guest, unifica tus decisiones de política y trata cada dependencia compartida como riesgo propio.

Fuentes

• Findings from the $1M Vercel Sandbox challenge (fuente original)
• Massive zero-day: cyber pro breaks out of virtual machine, takes root on KVM host
• Docker Launches Cloud Sandboxes, Extending Secure AI Agent Isolation Beyond the Laptop
• Docker Launches Cloud Sandboxes, Extending Secure AI Agent Isolation Beyond the Laptop

Artículos relacionados:

Vercel Sandbox migra a Managed Images: menos configuración, más seguridad para startups Vercel Sandbox llega a 4 regiones globales con failover Hermes Agent con Vercel: 200+ modelos IA sin markup para startups 2026 Vercel presenta Fluid: compute que se adapta a cada agente Plugin Vercel para Claude Code: privacidad y telemetría