Sandboxes sollen verhindern, dass KI-Agenten auf nicht freigegebene Systeme zugreifen oder vertrauliche Daten verschicken. Netzwerk-Allowlists beschränken die Kommunikation dabei auf genehmigte Ziele und sollen Verbindungen zu nicht vertrauenswürdigen Servern unterbinden.

Genau diese Schranke lässt sich laut AIR über die Art und Weise aushebeln, wie Server digitale Zertifikate verarbeiten. In einem von den Forschern demonstrierten Szenario wurde ein speziell präpariertes Zertifikat an einen freigegebenen Server geschickt, der daraufhin selbst eine Anfrage an einen vom Angreifer kontrollierten Server auslöste. Die Information verließ die Umgebung somit, ohne dass die Sandbox jemals direkt mit dem unerlaubten Ziel kommunizierte. „Ein präpariertes Zertifikat genügt“, heißt es in der Veröffentlichung. „Die Mauer, die deine Geheimnisse drinnen halten soll, hat eine Tür — und der Agent hat den Schlüssel.“

„Diese Schwachstelle zeigt, dass Unternehmen Mini-Vorfälle im Stil von Hugging Face mit ihren eigenen Agenten erleben können“, sagte Niv Hoffman, Mitgründer und Technikchef von AIR. Der neue Beitrag der Untersuchung bestehe darin, zu zeigen, dass selbst in der heute üblichen gehärteten Sandbox noch Fehler stecken, durch die ein außer Kontrolle geratener Agent ausbrechen und draußen aktiv werden könne.

Hoffman bezeichnete das Leck als schwer zu beheben: „Diese Sandbox hat nie direkt mit dem Angriffsserver kommuniziert … aus Sicht der Sandbox sah also alles in Ordnung aus.“ Sein Team habe Vercel kontaktiert; das Unternehmen habe erklärt, es brauche Zeit für einen Patch, da derzeit unklar sei, wie dieser aussehen solle. Eine Anfrage um Stellungnahme ließ Vercel zunächst unbeantwortet.

Hinweise auf eine Ausnutzung der Lücke in freier Wildbahn hat AIR nach Angaben Hoffmans nicht gefunden, ausschließen lässt sich eine solche aber nicht. Die Schwachstelle in der Vercel-Sandbox bestehe offenbar schon seit Längerem.

Nic Adams, Mitgründer und Chef des Cyberkinetik-Unternehmens 0rcus, bewertete die Untersuchung als bedeutsam, weil sie zeige, wie ein freigegebener Server zum „unwissentlichen Kurier für gestohlene Zugangsdaten“ werden könne. „Sicherheit muss berücksichtigen, was nach der ersten Verbindung passiert.“