15 октября 2026 г.
Изоляцию облачных песочниц для агентов можно пробить: конкурс Vercel нашёл 0-day в ядре Linux
Одна дыра в ядре Linux пробивает изоляцию гостевой VM, и нашли её за менее $700 на API-токены. Итоги конкурса Vercel на 14.10.2026: 1 285 отчётов, $242 000 выплат, 57 валидных.
Guillermo Rauch
@rauchg
Одно из самых захватывающих времён в технологиях, а этот челлендж стал ещё одним моментом, от которого отвисает челюсть. Когда начали выходить подробности про побег агента OpenAI и взлом Hugging Face, стало ясно: удержание агентов в изоляции станет одним из главных приоритетов для любой компании, которая делает ИИ-инфраструктуру. Есть два класса побегов: ① «выбраться из сети» и ② «выбраться из матрицы» 😁, то есть сломать иллюзию виртуализации. OpenAI был первым: агент, которому не полагалось иметь доступ в интернет, получил его, взломав другую систему. Это действительно поразительно и тревожно. Однако в ходе этого челленджа мы обнаружили нечто ещё более прорывное. Талантливый white-hat исследователь, вооружённый роем ИИ-агентов, экспертизой и упорством, «пробил» границу виртуализации Linux, на которую сегодня полагается почти каждый облачный провайдер песочниц в мире. Я очень благодарен, что мы получили отчёт, смогли быстро защитить наших клиентов, не нашли признаков компрометации данных клиентов и вместе со многими партнёрами из индустрии защитили интернет в целом. Наша уверенность и убеждённость в Vercel Sandbox после этого стали ещё сильнее: самые умные и мотивированные исследователи мира вместе со своими агентами дали ей всё, что могли.
Мы объявили награду в $1 млн за побег из Vercel Sandbox. • 1 285 отчётов • $242 000 выплачено • Найден один нулевой день в ядре Linux • Утечек данных клиентов не зафиксировано
· 1,9 тыс. просмотров
В июле агенты OpenAI вышли из тестовой среды через дыру в Artifactory, получили интернет и взломали Hugging Face. Здесь дыра не в гипервизоре, а в сетевом стеке ядра Linux: из гостевой VM можно читать память хоста.
Что закрыли. Фикс смёржен в mainline 14.10 и забэкпортен в семь stable-веток: 5.10, 5.15, 6.1, 6.6, 6.12, 6.18 и 7.2. Администраторам нужна сборка ядра с коммитом 6785011f8b16 или новее либо бэкпорт от дистрибутива. Уязвимы Linux 6.12 и ниже с KVM и сетью у гостя.
Не хотите разбираться сами? Внедряем ИИ в ваш бизнес: задачи без лимита, одна цена в месяц, отмена в любой момент.
Vercel обновил ядра своих хостов, выключил вложенную виртуализацию и урезал права microVM через Firecracker jailer. Клиентских данных, по его словам, не затронуто. Цикл от находки до фикса занял около семи недель: приватный отчёт мейнтейнерам 4 сентября, приём в апстрим 7-8 октября. Максимальная выплата в $50 000 ушла автору 0-day Paulos Yibelo.
Дальше идут бэкпорты дистрибутивов, и срок каждого зависит от их графика.
* Meta Platforms Inc. признана в РФ экстремистской организацией, её деятельность запрещена; Facebook и Instagram заблокированы. Meta AI и другие продукты компании — продукты этой организации.
Первоисточник