La startup de sécurité IA AIR a signalé lundi une faille de filtrage réseau dans Vercel Sandbox, qui pourrait permettre à un agent IA malveillant de faire sortir des informations sensibles au-delà des frontières réseau autorisées.
AIR n'a trouvé aucune preuve d'exploitation dans la nature. Niv Hoffman, cofondateur et CTO de la startup, a déclaré à The Record qu'il ne pouvait pas exclure que l'exploitation ait eu lieu.
Le serveur autorisé fournit le second saut
Vercel Sandbox exécute du code dans des environnements isolés. Sa liste d'autorisation réseau vise à limiter les communications à des destinations approuvées, afin d'empêcher les agents de se connecter directement à une infrastructure non fiable.
Selon le compte rendu de The Record sur les recherches d'AIR, la faille exploite le comportement de la validation des certificats pour créer une voie indirecte en dehors de cette frontière.
Dans la démonstration des chercheurs, un agent envoie un certificat spécialement conçu à un serveur autorisé. Ce serveur émet ensuite une requête vers un système contrôlé par l'attaquant, ce qui permet aux informations de quitter le réseau autorisé sans que le sandbox ne contacte directement la destination non autorisée.
Du point de vue du sandbox, l'agent n'a communiqué qu'avec un serveur figurant sur la liste d'autorisation. Le contrôle ne tient pas compte de la requête ultérieure initiée par ce point de terminaison pourtant approuvé.
Nic Adams, cofondateur et PDG de l'entreprise de cyberkinetics 0rcus, a qualifié le serveur approuvé de « messager involontaire d'identifiants volés ». Cette constatation montre pourquoi la validation de la destination initiale peut ne pas suffire lorsque cette destination peut relayer des données ou initier d'autres connexions.
Hoffman a décrit la faille comme « une fuite très difficile à corriger » et a indiqué qu'elle semblait exister depuis longtemps. Il a aussi comparé les conséquences potentielles à de petits incidents propres à certaines organisations, ressemblant à des expositions touchant des plateformes de développement IA. Cette comparaison relevait d'une analogie de risque, et non du signalement d'une compromission de Vercel Sandbox.
Le plan de correctif de Vercel reste incertain
Hoffman a indiqué qu'AIR avait contacté Vercel, qui lui a répondu que l'éditeur avait besoin de temps pour développer un correctif, la mise en œuvre n'ayant pas encore été déterminée. Vercel n'a pas répondu immédiatement à la demande de commentaire de The Record.
Le compte rendu de The Record n'identifie ni la plage de versions de Vercel Sandbox concernée, ni une version corrigée. Il ne fournit donc aucun seuil de version permettant aux exploitants de considérer un déploiement comme non touché.
Le récit ne documente pas non plus de contournement provisoire proposé par l'éditeur. Les équipes de sécurité qui évaluent leur exposition devraient considérer qu'une connexion de premier saut autorisée ne suffit pas à prouver que les données d'un agent restent dans les limites autorisées. Elles peuvent notamment vérifier si les services figurant sur la liste d'autorisation peuvent déclencher des requêtes vers d'autres destinations, et restreindre les informations sensibles accessibles aux agents en sandbox lorsque c'est opérationnellement possible. Il s'agit de mesures de réduction des risques, et non d'un correctif confirmé par l'éditeur pour la faille sous-jacente.
