Vercel a lancé le 18 août un programme public HackerOne offrant jusqu’à 1 000 000 $ aux chercheurs capables de s’échapper d’un Vercel Sandbox. L’annonce a été publiée à 13:00 UTC.

Les conditions

La fenêtre court du mardi 18 août au mardi 1er septembre 2026, « ou plus tôt si le budget de récompenses est épuisé ». Le gain maximal par vulnérabilité est de 50 000 $, pour une faille permettant à un acteur malveillant de lire ou de modifier les données d’un autre tenant Vercel. Deux limites sont dans le périmètre : la frontière de calcul — quitter la microVM Firecracker pour atteindre l’hôte EC2 ou le sandbox d’un autre tenant — et la frontière réseau, en contournant le pare-feu du sandbox pour atteindre des destinations non autorisées ou exfiltrer des données.

Ce que le récit habituel présente mal

« Vercel offre une prime au bug d’1 M$ » occulte ces deux limites. Il s’agit d’un budget mutualisé et limité dans le temps, pas d’une prime permanente : il peut s’arrêter dans quatorze jours, ou plus tôt si les chercheurs épuisent le budget. Et le 1 M$ n’est pas un prix par découverte — le plafond pour un rapport unique représente un vingtième du montant mis en avant.

L’exclusion de périmètre est le détail le plus tranchant. « Les évasions de l’espace de noms d’un conteneur qui n’atteignent que l’OS invité de Firecracker ne sont pas dans le périmètre. » S’extraire d’un conteneur pour accéder au système d’exploitation invité — une catégorie de faille qui constituerait l’essentiel du résultat dans la plupart des sandboxes fondés sur des conteneurs — ne rapporte rien ici, car Vercel affirme que la frontière de la microVM tient même lorsque la couche au-dessus cède. Le programme est conçu pour tester exactement une proposition.

Pourquoi un sandbox vaut aujourd’hui 1 M$ d’attention

Vercel Sandbox sert à exécuter du code non fiable — de plus en plus, du code rédigé par des agents d’IA pour le compte des utilisateurs. La frontière de la microVM devient donc ce qui sépare l’agent d’un client des données d’un autre client, et une forte promesse d’isolation est désormais une caractéristique produit qui doit être défendable, et non simplement affirmée. Publier un périmètre qui exclut la faille la plus facile revient à dire sur quelle frontière l’entreprise est réellement prête à parier.