Um bounty é um preço sobre a confiança na contenção

Em 18 de agosto de 2026, a Vercel abriu um desafio de duas semanas: escapar do sandbox de agentes da empresa entre 18 de agosto e 1º de setembro e receber de um pool de US$ 1 milhão. Achados críticos pagam de US$ 25 mil a US$ 50 mil. Severidade alta paga de US$ 10 mil a US$ 25 mil, média de US$ 5 mil a US$ 10 mil, baixa de US$ 1 mil a US$ 5 mil. O anúncio, escrito por Andy Riancho, carrega algo mais reutilizável que o prêmio: um documento de escopo publicado, dizendo exatamente quais falhas contam como fuga e quais ficam de fora.

Esse documento é o artefato que merece estudo. Um fornecedor que publica seu modelo de ameaças, atribui valores em dólar a cada classe de falha e convida o mundo a cobrar converteu uma alegação de marketing (“nosso sandbox é seguro”) em uma alegação falsificável (“aqui está a fronteira, aqui está quanto vale rompê-la, aqui estão duas semanas para tentar”). Qualquer time que roda agentes sobre código não confiável pode copiar o instrumento, com ou sem o milhão de dólares.

O que o escopo inclui, e o que exclui de propósito

Três classes de achado estão no escopo. Primeira: breakout da microVM Firecracker para o host EC2 bare-metal embaixo dela. Segunda: comprometimento entre tenants, ou seja, alcançar o workload de outro cliente. Terceira, e esta é a incomum: derrotar o firewall sem jamais cruzar a fronteira da VM, alcançando destinos não autorizados, exfiltrando dados ou recuperando credenciais de dentro de um sandbox perfeitamente intacto.

Uma classe fica explicitamente fora do escopo: fugas do container para o sistema operacional convidado dentro da microVM. Essa exclusão informa tanto quanto as inclusões. A Vercel está dizendo em qual fronteira aposta sua garantia. Dentro da microVM, o container é camada de conveniência; a linha de virtualização por hardware e os controles de rede do lado do host são as paredes pelas quais a empresa aceita pagar. Catalogamos os trade-offs entre primitivas de sandbox no ensaio sobre o padrão de contenção, e a arquitetura aqui segue a ponta forte daquele espectro: workloads rodam a duas camadas do host, o firewall vive fora da VM, onde o código do sandbox jamais o toca, e as credenciais são injetadas na fronteira sem entrar na microVM. Esse desenho de credenciais é o mesmo padrão de troca na fronteira que examinamos no modelo de troca de credenciais da Vercel.

O modelo de ameaças dispensa mais arquitetura que isso. O movimento interessante está nas definições.

Fuga definida na fronteira de rede

A palavra “fuga” costuma evocar código rodando no host. O escopo da Vercel alarga a definição, e o anúncio enuncia o princípio diretamente: “um sandbox sem fronteira de rede é só metade de um sandbox”.

Sob essa definição, um atacante que nunca toca o hipervisor, mas convence a camada de egresso a entregar dados a um destino não autorizado, escapou. O mesmo vale para quem recupera uma credencial que deveria permanecer fora da VM. Isso bate com o que a experiência de campo vem mostrando: agentes raramente precisam de um exploit de kernel quando um recurso intencional os carrega pela porta da frente. Um agente com um cliente HTTP funcional e uma allowlist generosa demais exfiltra dados sem violar uma única garantia de isolamento. Definir isso como fuga, e pagar por isso nas mesmas faixas de um breakout de hipervisor, é a decisão mais afiada do documento de escopo.

Para times escrevendo os próprios modelos de ameaça, essa é a linha a roubar. Se a sua definição de falha de sandbox termina em “código executado no host”, metade do seu risco real fica fora da definição.

O que as faixas de pagamento precificam

O enquadramento de Riancho para a existência do sandbox: “agentes precisam rodar código não confiável, e a microVM virou a forma padrão de fazer isso”. Aceita a premissa, todo operador herda a pergunta de quanta confiança depositar nas paredes. Confiança costuma vir expressa em adjetivos. Fornecedores dizem “endurecido”, “isolado”, “defesa em profundidade”, e o comprador segue sem meio de comparar um adjetivo com outro.

Um bounty com escopo publicado expressa confiança em dólares e exposição. A estrutura da Vercel diz: acreditamos que uma violação crítica desta fronteira específica é improvável o bastante para pagarmos até US$ 50 mil por achado, de um pool de US$ 1 milhão, a qualquer pessoa na internet, por duas semanas. Isso é um preço sobre a confiança na contenção. Pode estar errado em qualquer direção, e as duas semanas produzirão evidência. Um desafio silencioso é evidência mais fraca que um desafio pago, já que ausência de achados jamais prova ausência de falhas. Ainda assim, é evidência categoricamente melhor que um adjetivo.

As faixas precificam uma segunda coisa: o ranking interno que o fornecedor faz dos próprios modos de falha. Comprometimento entre tenants no mesmo escopo que breakout de host informa que a Vercel trata isolamento de tenant como parte da garantia de contenção, e como parte do que aceita pagar para ver testado. Compradores deveriam ler faixas de severidade como leem um SLA: a opinião escrita do fornecedor sobre o que importa.

A pergunta de compra que isso entrega a todo comprador

Se você está avaliando infraestrutura de sandbox para workloads de agentes, o desafio entrega uma pergunta que atravessa qualquer datasheet: quanto o seu fornecedor pagaria para alguém quebrar o produto? A resposta da Vercel é US$ 1 milhão em duas semanas, contra um escopo escrito que inclui a fronteira de rede. Um fornecedor sem resposta está pedindo que você aceite adjetivos.

A mesma pergunta aponta para dentro. Se o seu time construiu o próprio runtime de agentes, vocês conseguiriam escrever o documento de escopo? Onde fica a fronteira de host, e qual primitiva a garante? Onde fica a fronteira de rede, e o código do sandbox alcança o ponto de enforcement? Onde vivem as credenciais, e alguma coisa dentro do sandbox chega a segurar uma? A seção de fora-do-escopo é a parte mais difícil de escrever, porque obriga a nomear as camadas que vocês se recusam a garantir. Um time incapaz de escrevê-la ainda desconhece a própria fronteira.

Faça isso agora

Pegue a estrutura de escopo do desafio da Vercel e reescreva para a sua infraestrutura de agentes ainda esta semana, mesmo sem nenhum dinheiro de bounty envolvido. Uma página: classes de fuga dentro do escopo, incluindo derrotas na fronteira de rede e recuperação de credenciais, camadas fora do escopo nomeadas explicitamente, e um ranking de severidade que reflita o que vocês de fato pagariam para descobrir primeiro. Depois entregue o documento ao time de segurança, ou a um engagement de red team, como contrato de teste. O documento custa uma tarde. Ele converte “achamos que o sandbox aguenta” em uma alegação que alguém pode tentar falsificar, e essa conversão, mais que qualquer primitiva de isolamento, é a matéria-prima da confiança na contenção.

Fontes

Andy Riancho, Vercel. “Vercel’s $1 Million Sandbox Escape Challenge.” Agosto de 2026.

A Victorino ajuda times de engenharia a escrever especificações de contenção falsificáveis para sua infraestrutura de agentes, da fronteira do sandbox à injeção de credenciais: contato@victorino.com.br | www.victorino.com.br