安全研究员Paulos Yibelo发现并上报了一个可实现完整虚拟机逃逸的KVM 0Day漏洞，Vercel目前已经确认问题存在。利用该漏洞，客户机内部运行的代码可以突破虚拟化隔离边界，进一步获取宿主机的root权限。
10月3日，Yibelo在社交平台公开了这一发现，并将其描述为“全虚拟机逃逸0Day”，称该漏洞能够在行业标准hypervisor中实现从客户机到宿主机的root权限获取。更多技术细节目前尚未披露。
该漏洞通过Vercel Sandbox漏洞奖励计划提交，也让外界开始重新审视这类安全隔离边界的可靠性。Vercel原本正是依靠这一机制，将不可信工作负载与AI Agent和底层宿主环境隔离开来。
随后，Vercel CEO Guillermo Rauch也单独确认了这一KVM 0Day，并透露后续将发布完整技术分析。目前，无论是Yibelo还是Vercel方面都没有公开完整利用链，也尚未明确具体受影响的版本范围。
Part01
单报告奖励5万美元
为沙箱计划最高标准
随公告一同披露的奖励通知显示，Vercel向Yibelo发放了5万美元奖金，这是该计划针对单份漏洞报告的最高奖励金额。根据奖励规则，最高等级奖励面向可导致攻击者读取或篡改其他Vercel客户信息的漏洞。严重级漏洞的评定范围包括：从microVM逃逸至EC2宿主机、访问其他客户数据，或实现跨客户代码执行。
但需要明确的是，该奖励等级并不代表漏洞已被用于窃取客户数据。奖励通知的截图隐去了漏洞的根本原因，现有公开声明也无法证明已有真实客户信息遭到访问。
Vercel总额100万美元的Sandbox挑战赛于2026年8月18日启动，原定截止日期为9月1日。根据赛事公布的规则，参赛报告必须提供可运行的概念验证，证明安全边界已被突破，仅通过代码审计得出的报告不符合获奖要求。
Part02
逃逸突破microVM安全边界
威胁AI Agent运行场景
KVM全称是基于内核的虚拟机（Kernel-based Virtual Machine），是Linux平台的虚拟化实现方案。正常情况下，客户虚拟机与运行它的宿主机应当完全隔离。一旦攻击者成功实现从客户机到宿主机的逃逸，就会打破这层隔离；如果获取到宿主机root权限，攻击者就能完全控制宿主机。
根据Vercel公开的架构设计，每个沙箱都运行在裸金属亚马逊EC2宿主机上的独立Firecracker microVM中。每个microVM配有专属的客户机内核，内部运行Linux容器来执行用户代码。Vercel明确将microVM而非容器列为核心安全边界。
对于需要执行生成代码或下载代码的AI Agent而言，这一边界界定非常关键。从容器逃逸到客户机操作系统，与突破到下层宿主机的风险等级完全不同。Yibelo此次报告的是风险更高的边界突破，不过目前具体的技术利用步骤尚未公开。
Part03
漏洞细节暂未披露
目前的公告未披露该漏洞的CVE编号、受影响内核版本、利用所需的处理器条件，也未提及补丁进展。公告同样没有说明利用该漏洞是否需要获取客户机管理员权限。Rauch提到漏洞存在于KVM中，但这不代表所有KVM部署、Firecracker安装实例或云服务商环境都存在风险。由于关键细节缺失，第三方目前无法独立评估该漏洞在不同宿主机配置下的利用可靠性。
此前Cybersecuritynews曾报道过另一个Januscape KVM漏洞，该漏洞可通过嵌套虚拟化造成宿主机内存损坏。目前没有公开证据表明Januscape漏洞与此次Yibelo发现的漏洞有关，因此不能将前者的利用条件和修复方案套用到本次漏洞上。
在官方公布完整技术细节之前，运维人员应当遵循Vercel及自身Linux发行版厂商的指引，不要贸然使用不相关的补丁尝试修复该漏洞。目前可以确认的只有漏洞报告属实、存在宿主机root逃逸的风险，并无证据表明该漏洞已被广泛利用。
Vercel承诺发布的技术报告将明确漏洞根因、受影响系统范围和可用防护措施，帮助防御方准确评估自身受影响情况，无需盲目猜测。这些细节公布后，才能确定哪些部署场景需要采取紧急处置措施。
参考来源：
Vercel Confirms KVM Zero-Day VM Escape, Awards Researcher $50,000
https://cybersecuritynews.com/kvm-zero-day-vm-escape/