Das KI-Sicherheitsunternehmen AIR hat am Montag eine Schwachstelle in der Netzwerkfilterung von Vercel Sandbox offengelegt. Über sie könnte ein abtrünniger KI-Agent sensible Informationen über genehmigte Netzwerkgrenzen hinaus verschieben.
AIR fand keine Belege für eine Ausnutzung in realen Angriffen. Niv Hoffman, Mitgründer und CTO des Startups, sagte gegenüber The Record, er könne nicht ausschließen, dass eine Ausnutzung stattgefunden hat.
Der Server auf der Allowlist liefert den zweiten Sprung
Vercel Sandbox führt Code in isolierten Umgebungen aus. Die Netzwerk-Allowlist soll die Kommunikation auf genehmigte Ziele beschränken und verhindern, dass Agenten direkt eine Verbindung zu nicht vertrauenswürdiger Infrastruktur aufbauen.
Laut der Darstellung von The Record zur Forschung von AIR nutzt die Schwachstelle ein Verhalten bei der Zertifikatsprüfung aus, um einen indirekten Weg außerhalb dieser Grenze zu schaffen.
In der Demonstration der Forscher sendet ein Agent ein speziell präpariertes Zertifikat an einen genehmigten Server. Dieser Server stellt dann eine Anfrage an ein System unter der Kontrolle des Angreifers. So können Informationen das erlaubte Netzwerk verlassen, ohne dass die Sandbox das unautorisierte Ziel direkt kontaktiert.
Aus Sicht der Sandbox hat der Agent nur mit einem Server auf der Allowlist kommuniziert. Die Kontrolle berücksichtigt jedoch nicht die anschließende Anfrage, die dieser vertrauenswürdige Endpunkt auslöst.
Nic Adams, Mitgründer und CEO des Cyberkinetics-Unternehmens 0rcus, bezeichnete den genehmigten Server als „unwissentlichen Kurier für gestohlene Zugangsdaten“. Der Befund zeigt, warum die Prüfung des ersten Ziels womöglich nicht ausreicht, wenn dieses Ziel Daten weiterleiten oder weitere Verbindungen auslösen kann.
Hoffman beschrieb die Schwachstelle als „ein sehr schwer zu schließendes Leck“ und sagte, sie scheine schon länger zu bestehen. Außerdem verglich er die möglichen Folgen mit kleinen, organisationsspezifischen Vorfällen, wie sie bei Datenabflüssen über KI-Entwicklungsplattformen vorkommen. Dieser Vergleich war eine Risikoanalogie und keine Meldung über einen Einbruch in Vercel Sandbox.
Vercels Patch-Plan bleibt ungeklärt
Hoffman sagte, AIR habe Vercel kontaktiert und die Auskunft erhalten, der Anbieter brauche Zeit für einen Patch, weil die Umsetzung noch nicht festgelegt sei. Vercel hat auf die Anfrage von The Record um eine Stellungnahme zunächst nicht reagiert.
Die Darstellung von The Record nennt weder einen betroffenen Versionsbereich von Vercel Sandbox noch eine korrigierte Version. Betreiber können daher nicht anhand einer Versionsgrenze prüfen, ob ihre Bereitstellung nicht betroffen ist.
Der Bericht dokumentiert außerdem keine vorläufige Umgehungslösung des Anbieters. Sicherheitsteams, die ihr Risiko bewerten, sollten eine genehmigte erste Verbindung nicht als ausreichenden Beleg dafür werten, dass die Daten eines Agenten innerhalb der erlaubten Grenzen bleiben. Insbesondere können sie prüfen, ob Dienste auf der Allowlist weitere Anfragen auslösen können, und, soweit betrieblich machbar, einschränken, welche sensiblen Informationen den Agenten in der Sandbox zur Verfügung stehen. Dabei handelt es sich um Maßnahmen zur Risikominderung, nicht um eine vom Anbieter bestätigte Behebung der zugrunde liegenden Schwachstelle.
