La startup di sicurezza AI AIR ha segnalato lunedì una falla nel filtraggio di rete di Vercel Sandbox che potrebbe consentire a un agente AI non autorizzato di far uscire informazioni sensibili oltre i confini di rete approvati.
AIR non ha trovato alcuna prova di sfruttamento nel mondo reale. Niv Hoffman, co-fondatore e CTO della startup, ha dichiarato a The Record che non può escludere che lo sfruttamento sia avvenuto.
Il server in allowlist fornisce il secondo salto
Vercel Sandbox esegue il codice in ambienti isolati. La sua allowlist di rete è pensata per limitare le comunicazioni a destinazioni approvate, impedendo agli agenti di connettersi direttamente a infrastrutture non fidate.
Secondo il resoconto di The Record sulla ricerca di AIR, la falla sfrutta il comportamento della convalida dei certificati per creare una via indiretta al di fuori di quel confine.
Nella dimostrazione dei ricercatori, un agente invia un certificato appositamente costruito a un server approvato. Quel server avvia quindi una richiesta verso un sistema controllato dall'attaccante, e così le informazioni lasciano la rete consentita senza che la sandbox contatti direttamente la destinazione non autorizzata.
Dal punto di vista della sandbox, l'agente ha comunicato soltanto con un server in allowlist. Il controllo non tiene conto della richiesta successiva avviata da quell'endpoint considerato attendibile.
Nic Adams, co-fondatore e CEO della società di cyberkinetics 0rcus, ha descritto il server approvato come un «corriere inconsapevole di credenziali rubate». Il risultato mostra perché convalidare la destinazione iniziale potrebbe non bastare quando quella destinazione può inoltrare dati o avviare ulteriori connessioni.
Hoffman ha definito la falla «una perdita molto difficile da correggere» e ha detto che sembra risalire a molto tempo fa. Ha inoltre paragonato le possibili conseguenze a incidenti circoscritti alle singole organizzazioni, simili all'esposizione che ha coinvolto piattaforme di sviluppo di AI. Il paragone era un'analogia sul rischio, non la segnalazione di una violazione di Vercel Sandbox.
Il piano di patch di Vercel resta incerto
Hoffman ha dichiarato che AIR ha contattato Vercel, che ha risposto di aver bisogno di tempo per sviluppare una patch, perché l'implementazione non era ancora stata definita. Vercel non ha risposto subito alla richiesta di commento di The Record.
Il resoconto di The Record non identifica né un intervallo di versioni interessate di Vercel Sandbox né una release corretta. Non fornisce quindi alcuna soglia di versione che gli operatori possano usare per stabilire che una distribuzione non è coinvolta.
Il resoconto non documenta nemmeno una soluzione temporanea fornita dal vendor. I team di sicurezza che valutano l'esposizione dovrebbero considerare una connessione approvata al primo salto come prova insufficiente che i dati dell'agente restino entro i confini autorizzati. In particolare, possono verificare se i servizi in allowlist riescono a far partire richieste verso destinazioni aggiuntive e limitare, dove è operativamente fattibile, le informazioni sensibili accessibili agli agenti in sandbox. Si tratta di misure di riduzione del rischio, non di una correzione confermata dal vendor per la falla di fondo.
