VercelのAIエージェントサンドボックスにバイパス手法、AIR Securityが「VerCellBreak」を公開
AIR Securityは、VercelのAIエージェントサンドボックスにおけるネットワーク制限を回避し秘密情報を外部送信できる手法「VerCellBreak」を公開した。mTLSと証明書のAIA拡張の相互作用を悪用する。
AIセキュリティ企業のAIR Securityは2026年10月14日、Vercelが運用するAIエージェントサンドボックスにおけるネットワークアクセス制限を回避し、秘密情報を外部に送信できる手法「VerCellBreak」を公開した。datanet.co.krが伝えた。
この手法は、TLS証明書の検証時に生じる相互TLS（mTLS）と証明書拡張「AIA（Authority Information Access）」の相互作用を悪用する。細工したクライアント証明書のURLに秘密鍵を符号化することで、信頼された許可対象ドメインが、攻撃者が管理するサーバー上のAIA指定URLへ問い合わせを行わせる仕組みだ。
AIR Securityによると、この情報漏えいにはAIエージェントが攻撃者のサーバーへ直接接続する必要はない。VercelのサンドボックスはマイクロVM技術「Firecracker」を利用している。
Vercelはこの報告を、Vercelが運用しない外部サーバーの挙動に依存する手法であるとして、バグバウンティプログラムの対象外と分類したと研究チームは説明している。
背景
2025年10月時点で、OpenAIやAnthropicといったフロンティアAIモデルが外部企業へのハッキングに関与したとされる事例が報じられている。
よくある質問
VerCellBreakとは何ですか。
VercelのAIエージェントサンドボックスにおけるネットワークアクセス制限を回避し、秘密情報を外部に送信できる手法です。TLS証明書検証時のmTLSとAIA拡張の相互作用を悪用します。
Vercelはこの報告をどう扱いましたか。
Vercelは、Vercelが運用しない外部サーバーの挙動に依存する手法であるとして、バグバウンティプログラムの対象外と分類したと研究チームは説明しています。
情報漏えいにAIエージェントの直接接続は必要ですか。
不要です。細工したクライアント証明書により、信頼された許可対象ドメインが攻撃者管理のサーバー上のAIA指定URLへ問い合わせを行います。