Vercel Sandbox 침해 공개 해커 챌린지
Vercel Sandbox의 격리 경계를 검증하는 공개 HackerOne 프로그램과 최대 100만 달러 보상을 시작했습니다.
교안에 영향
기존에 Vercel Sandbox를 단순한 컨테이너 격리로 설명한 안내는 Firecracker microVM과 호스트 측 네트워크 경계를 함께 봐야 하므로 맞지 않을 수 있습니다.
요약
- Vercel Sandbox 격리 경계를 대상으로 하는 2주짜리 공개 HackerOne 프로그램을 시작했습니다. - 취약점 한 건당 최대 50,000 USD, 총 보상 풀은 최대 1,000,000 USD입니다. - Firecracker microVM과 호스트 측 네트워크 제어를 포함한 샌드박스 경계가 핵심 범위입니다. - 컨테이너 네임스페이스 탈출만으로는 범위에 들지 않으며, 정적 분석만으로는 보상하지 않습니다.
바뀐 것
새 기능
- Vercel Sandbox 격리 검증을 위한 공개 HackerOne 프로그램을 시작했습니다.
- Tuesday, August 18 to Tuesday, September 1, 2026까지 운영되는 2주 한정 제출 창을 열었습니다.
- 취약점 한 건당 최대 $50,000 USD 보상을 설정했습니다.
- 총 보상 풀을 최대 $1,000,000 USD로 책정했습니다.
- 공격 범위에 Compute boundary와 Network boundary를 명시했습니다.
기타
- @vercel/sandbox SDK로 샌드박스를 띄워 라이브 proof of concept를 보여야 하며, 정적 분석만으로는 보상하지 않습니다.
- HackerOne program page에서 전체 규칙, 자격 요건, 범위, 보상 표, 제출 절차를 안내합니다.
- 이번 프로그램에서 확인된 기법은 이후 샌드박스 경계에 영구적으로 반영됩니다.