Wie hackt de sandbox (en wint $1 miljoen)?

Onderzoekers worden uitgedaagd om de sandbox te omzeilen, door de firewall te breken, toegang te krijgen tot andere sandboxes of netwerkbeperkingen te omzeilen, niet-geautoriseerde bestemmingen te bereiken, data buit te maken of toegangsgegevens te verkrijgen. Per gevonden kwetsbaarheid kan de beloning oplopen tot $50.000, in totaal is er $1 miljoen beschikbaar. Vercel heeft er alle vertrouwen in dat hun sandbox veilig is voor AI-agents die repositories uitlezen, commando's uitvoeren, softwarepakketten installeren en zelfstandig programma’s genereren, ook als de uitgevoerde code zelf kwaadaardig is. Met de challenge wil Vercel zowel de reken- als netwerkbeveiliging van Sandbox in de praktijk laten testen.

Tot $50.000 per kwetsbaarheid

De hoogte van de beloning hangt af van de ernst en aantoonbare impact van de kwetsbaarheid. Voor kritieke kwetsbaarheden bedraagt de vergoeding $25.000 tot $50.000, voor kwetsbaarheden met een hoge ernst $10.000 tot $25.000. Voor kwetsbaarheden met een gemiddelde ernst ligt de beloning tussen $5.000 en $10.000. Voor kwetsbaarheden met een lage ernst gaat het om $1.000 tot $5.000.

Steeds veiliger

Het platform beoordeelt de meldingen tijdens de challenge en in de week daarna, voert fixes door en beloont onderzoekers zodra bevindingen zijn bevestigd. De technieken die tijdens het programma worden ontdekt, worden vervolgens gebruikt om de beveiliging van de sandbox verder te versterken. Na afloop publiceert het bedrijf een follow-up over de ontdekte aanvalstechnieken en de doorgevoerde verbeteringen.

Tot 1 september

Het programma loopt van 18 augustus tot en met 1 september 2026 en staat open voor alle onderzoekers die aan de deelnamevoorwaarden voldoen. Bevindingen moeten via HackerOne worden ingediend en voorzien zijn van een werkende proof of concept die de impact van de kwetsbaarheid aantoont. Bevindingen die uitsluitend op statische analyse zijn gebaseerd, komen niet voor een beloning in aanmerking.