Die beiden Kernel-Fehler haben Tragweite über Vercel hinaus, denn zahlreiche große Cloud-Anbieter isolieren Kunden-Workloads über dieselbe Schicht des Linux-Kernels. Durch das Bounty-Programm erfuhr Vercel zwei Wochen vor den Kernel-Maintainern von den Schwachstellen. „Die Korrekturen befinden sich in privater Prüfung und CVEs stehen noch aus, daher halten wir Details aus diesem Beitrag heraus, bis sie öffentlich sind", teilte das Unternehmen mit.
Die Whitebox-Prüfung durch zwei Trail-of-Bits-Ingenieure erbrachte 20 Befunde. Den größten Nutzen zog Vercel nach eigener Darstellung allerdings aus deren architektonischen Empfehlungen. Die Prüfer stimmten der Wahl der Virtualisierungstechnik zu, gaben aber drei strukturelle Ratschläge — darunter den Grundsatz, dem Gast nicht länger zu vertrauen.
„Unsere Steuerungsebene akzeptierte Werte, die von Software innerhalb der microVM zurückgegeben wurden. Jeder dieser Werte ist Eingabe des Mandanten. Alles, was die Grenze überschreitet, sollte serverseitig abgeleitet oder mit einem Schlüssel signiert werden, an den der Gast nicht herankommt", erläutert Vercel.
Die schiere Menge der Einreichungen wurde zum eigenen Problem. Zunächst bearbeitete Vercel jeden Bericht in einem separaten Chat, wobei ein Mensch jede Entscheidung prüfte. „Dieses Minimalprodukt war für die ersten fünfzig Berichte die richtige Entscheidung und für die nächsten tausend die falsche", heißt es. Mit steigendem Volumen entwickelte das Unternehmen eine eigene agentische Triage-Lösung auf Basis des hauseigenen Agenten-Frameworks Eve.
Der Agent liest jeden Bericht, gleicht ihn mit der Programmrichtlinie ab, sucht über tausend Einreichungen hinweg nach Duplikaten, zieht die Quellbäume heran und führt den Proof of Concept des Forschers in einer echten Vercel Sandbox aus. Vercel will diesen Agenten, der auf Kimi K3 läuft, als Open Source veröffentlichen. Auch wenn das Meldungsaufkommen hier durch das Programm selbst angeheizt wurde, deutet es auf eine generelle Zunahme sicherheitsrelevanter Meldungen durch KI hin — und der offengelegte Triage-Code könnte anderen Firmen als Ausgangspunkt dienen.
Bemerkenswert sind zwei Schlussfolgerungen. Erstens hält Vercel KI-gestützte Verteidigung für notwendig, um mit dem Tempo KI-gestützter Angriffe mitzuhalten. Zweitens — und deutlich strittiger — entfernte das Unternehmen den Menschen aus dem Entscheidungsprozess. Kunden schätzen üblicherweise menschliche Entscheidungen gegenüber automatisierten, doch ein Mensch in der Schleife erzeugt zwangsläufig Verzögerung. In vielen Fällen ist diese hinnehmbar; je schneller Abläufe werden, desto eher kann sie es nicht mehr sein. Im vorliegenden Fall ist Vercel zugleich Anbieter und Kunde und hatte genug Vertrauen in den Agenten, um zugunsten der Geschwindigkeit auf die menschliche Kontrolle zu verzichten.
Aus Sicht des Unternehmens belegt der Wettbewerb die Robustheit der Sandbox: Keiner der Angreifer kam an Kundendaten, und die eingereichten Befunde dienten eher der Verbesserung als der Reparatur des Produkts. „Unsere Sandbox … ist jetzt dauerhaft besser … Jede in diesen zwei Wochen entdeckte Technik wird Teil der Art und Weise, wie wir die Grenze verteidigen", so Vercel. Einschränkend bleibt: Dass keine Schwachstelle gefunden wurde, beweist nicht, dass keine existiert.