La startup de seguridad en IA AIR dio a conocer el lunes un fallo de filtrado de red en Vercel Sandbox que podría permitir a un agente de IA descontrolado sacar información sensible más allá de los límites de red aprobados.
AIR no encontró indicios de explotación en entornos reales. Niv Hoffman, cofundador y director de tecnología (CTO) de la startup, declaró a The Record que no podía descartar que la explotación se hubiera producido.
El servidor incluido en la lista de permitidos ofrece el segundo salto
Vercel Sandbox ejecuta código en entornos aislados. Su lista de red permitida está pensada para restringir las comunicaciones a destinos aprobados, evitando que los agentes se conecten directamente a infraestructuras no confiables.
Según la crónica de The Record sobre la investigación de AIR, el fallo aprovecha el comportamiento de la validación de certificados para crear una ruta indirecta fuera de ese límite.
En la demostración de los investigadores, un agente envía un certificado especialmente diseñado a un servidor aprobado. Ese servidor lanza entonces una solicitud a un sistema controlado por el atacante, lo que permite que la información salga de la red permitida sin que el sandbox contacte directamente con el destino no autorizado.
Desde la perspectiva del sandbox, el agente solo se comunicó con un servidor incluido en la lista de permitidos. El control no tiene en cuenta la solicitud posterior iniciada por ese endpoint de confianza.
Nic Adams, cofundador y CEO de la empresa cyberkinetics 0rcus, describió al servidor aprobado como un «mensajero involuntario de credenciales robadas». El hallazgo muestra por qué validar el destino inicial podría no bastar cuando ese destino puede retransmitir datos o iniciar nuevas conexiones.
Hoffman calificó el fallo de «una fuga muy difícil de parchear» y afirmó que parecía existir desde hacía tiempo. También comparó las posibles consecuencias con incidentes pequeños y específicos de cada organización, similares a exposiciones que afectaron a plataformas de desarrollo de IA. Esa comparación era una analogía de riesgo, no un informe de una brecha en Vercel Sandbox.
El plan de parches de Vercel sigue sin definirse
Hoffman afirmó que AIR se puso en contacto con Vercel y que le indicaron que el proveedor necesitaba tiempo para desarrollar un parche, porque aún no se había determinado la implementación. Vercel no respondió de inmediato a la solicitud de comentarios de The Record.
La crónica de The Record no identifica el rango de versiones afectado de Vercel Sandbox ni una versión corregida. Por lo tanto, no ofrece un umbral de versión que los operadores puedan usar para clasificar una implementación como no afectada.
Tampoco documenta una solución provisional del proveedor. Los equipos de seguridad que evalúen la exposición deberían tratar una conexión aprobada en el primer salto como prueba insuficiente de que los datos del agente permanecen dentro de los límites autorizados. En particular, pueden revisar si los servicios incluidos en la lista de permitidos pueden activar solicitudes a destinos adicionales, y limitar la información sensible a la que acceden los agentes en sandbox cuando sea operativamente viable. Se trata de medidas de reducción de riesgo, no de una solución del fallo de fondo confirmada por el proveedor.
