Vercel puso en marcha el 18 de agosto un programa público de HackerOne que ofrece hasta $1,000,000 a los investigadores que logren escapar de una Vercel Sandbox. La publicación se difundió a las 13:00 UTC.
Las condiciones
La ventana va de martes 18 de agosto a martes 1 de septiembre de 2026, "o antes si se agota el fondo de recompensas." El pago único máximo es de $50,000, por una vulnerabilidad que permita a un actor malicioso leer o modificar los datos de otro inquilino de Vercel. Hay dos límites dentro del alcance: el límite de cómputo — salir de la microVM de Firecracker para الوصول al host EC2 o al sandbox de otro inquilino — y el límite de red, al eludir el firewall del sandbox para llegar a destinos no autorizados o exfiltrar datos.
Lo que suele decirse mal
"Vercel ofrece una recompensa de $1 millón por bugs" pasa por alto ambos límites. Se trata de un presupuesto agrupado y con límite temporal, no de una recompensa permanente: puede terminar en catorce días, o antes si los investigadores agotan el fondo. Y el millón no es un premio por cada hallazgo: el tope de cualquier informe individual es una vigésima parte de la cifra destacada.
La exclusión del alcance es el detalle más contundente. "Las fugas del espacio de nombres de contenedor que solo alcanzan el sistema operativo invitado de Firecracker no están dentro del alcance." Salir de un contenedor al sistema operativo invitado — la clase de hallazgo que sería el resultado completo en la mayoría de sandboxes basadas en contenedores — aquí no da nada, porque la postura de seguridad de Vercel es que el límite de la microVM se mantiene incluso cuando falla la capa superior. El programa está diseñado para probar exactamente una proposición.
Por qué un sandbox merece ahora $1 millón de atención
Vercel Sandbox existe para ejecutar código no confiable — cada vez más, código escrito por agentes de IA en nombre de los usuarios. Eso convierte el límite de la microVM en la barrera entre el agente de un cliente y los datos de otro, y hace que una fuerte afirmación de aislamiento sea ahora una característica del producto que debe poder defenderse, no solo afirmarse. Publicar un alcance que excluye el hallazgo más fácil es una forma de indicar qué límite está dispuesta la empresa a respaldar de verdad.