破られたのはハイパーバイザーではなく、Linuxがパケットを扱う、ごく目立たない処理でした。AIエージェント向けのサンドボックスを試す公開チャレンジから、仮想マシンの中からホストのメモリを外へ持ち出せる欠陥が見つかっています。仮想マシンを隔てる壁は、いったいどこにあるのでしょうか。
Vercelは2026年10月14日、AIエージェント向けの実行環境「Vercel Sandbox」からの脱出に総額100万ドルを懸けたチャレンジの結果を公表した。2週間で1,285件の報告が寄せられ、支払った報奨金は24万2,000ドル、Critical評価は1件だった。そのCriticalは、pwn.aiのパウロス・イベロ氏が報告したLinuxカーネルのネットワーク処理の脆弱性で、10月15日にCVE-2026-99999として公開された。
通称はPwnEscape。ゲストが渡すチェックサムの情報によって検証済みのIPv4ヘッダが書き換わり、ホストのメモリ32バイトが送信パケットに含まれる。pwn.aiによると、修正は10月14日にLinuxの本流へ統合された。
From: 
PwnEscape: Guest-to-Host KVM Escape (CVE-2026-99999)
【編集部解説】
今回の脆弱性を一言で表すと、「検査を通ったあとで、中身が書き換わる」という問題です。
ネットワークの世界では、データの破損を確かめる「チェックサム」の計算を、通信機器や後段の処理に任せる仕組みが広く使われています。その際、パケットに付随する管理情報には「どこから計算し、結果をどこへ書き込むか」が記録されます。
管理情報を仮想マシンの側から渡すこと自体は、正規の機能です。問題は、不正な値が十分に検証されず、後の書き込みが検証済みのIPv4ヘッダにまで及んだことでした。研究者の実証例では、カーネルがIPv4ヘッダを20バイトと確かめたあと、後回しにしていた2バイトのチェックサム書き込みによって、ヘッダの先頭バイトが0x45から0x4Fに変わりました。パケットを分割する処理はこれを60バイトのヘッダとして扱い、バッファ内で連続して保持されていた有効なパケットデータ28バイトの末尾を越えたホストのメモリ32バイトを、「IPオプション」として送り出してしまいました。
pwn.aiはこの構図を「deferred-metadata trust inversion（遅れて処理されるメタデータによる信頼の逆転）」と名付けています。確かめた時点と使う時点のあいだに、確かめた中身が変わる。昔から知られる型の問題が、チェックサムという目立たない部品の中に潜んでいたことになります。
注目したいのは、今回の欠陥がKVMの仮想化コードではなく、ホストのネットワーク処理にあった点です。研究者の図解も、境界を越えた場所をそう明示しています。Vercelの依頼でコードと設計を精査したTrail of Bitsは、同社の仮想化境界は健全だと評価していました。それでも、この構成ではゲストが送るパケットをホストのカーネルが処理します。隔離の強さは、ハイパーバイザーだけでなく、ホストがゲストから受け取るあらゆる情報の扱いで決まることを、今回の件ははっきり示しました。
影響を考えるうえで押さえたいのは、今回Vercelで実証された攻撃の起点が「仮想マシンの中」だという点です。インターネットのどこからでも狙える種類のものではなく、CVSSの攻撃元区分もローカルです。なお、仮想マシンを使わないローカルの攻撃経路も指摘されています。そして、クラウド、VPS、AIエージェント向けのサンドボックスのように、見知らぬ利用者に仮想マシンを貸す事業は、まさにその「中」を利用者に渡しています。CVSS v3.1の基本値はCVEレコードで9.3、Red Hatの暫定評価で8.8です。差は、攻撃に権限が要るかどうかの見方の違いから生じています。
CVEレコードは、影響の始まりをLinux 2.6.27としています。原因のひとつは、仮想ネットワーク機器（tun）にGSOを許した変更です。2008年から続いてきた経路だということになります。
利用者の立場によって、やることは分かれます。VPSやクラウドを借りている場合、自分の仮想マシンのカーネルを更新しても、事業者側のホストの欠陥は直せません。ホストの対応状況は、事業者のメンテナンス情報で確認することになります。ただし、仮想マシン自身をローカルの攻撃から守るための更新は、これとは別に必要です。自社でKVMなどの仮想化基盤を運用している場合は、ホストのカーネル更新が対策です。修正は、保守対象の7系列（5.10、5.15、6.1、6.6、6.12、6.18、7.2）の安定版に取り込まれました。Debianはtrixie向けに配布を始めています。AlmaLinuxは、Red Hatの修正版に先行してテスト版を出しています。Ubuntuは10月17日時点で評価中です。
実証の範囲も正確に読んでおきたいところです。Vercelの本番環境で確認されたのは、メモリの読み出しまでです。ホストの停止とホストでのコマンド実行は、研究者が自ら用意した、Vercel Sandboxと同じ構成のKVMとFirecrackerの環境で確認されたものです。pwn.aiは、自社のKVM環境で4回の起動を通してコマンド実行を確かめたとしています。CVEレコードに掲載されたCISAの評価では、悪用の確認は「なし」です。研究者はホストの掌握に至る詳しい手順を公開しておらず、第2部で扱うと予告しています。研究者は、条件の緩い環境向けには数週間で攻撃手法が出てくると見ており、更新を急ぐ理由はここにあります。
もうひとつの読みどころは、発見の過程にAIが組み込まれていたことです。pwn.aiによると、ソースコードの分析と仮説の検証ではGPT-5.6 Solを推論の中心に据え、調べる範囲の設定と証拠の判断は人間が担いました。着手から問題の核心にたどり着くまで3日、API費用は700ドル未満だったといいます。AIが書いたコードを安全に動かすための箱を、AIを使う研究者が試し、その結果がLinux全体の修正につながりました。
開示の流れも、うまく機能しました。8月18日のチャレンジ開始から2日後に、このカーネル欠陥に関する最初の報告が届き、9月4日にカーネルの保守担当者へ非公開で伝えられました。pwn.aiによると、修正は10月14日にLinuxの本流へ統合されました。Vercelも、ゲストから受け取る値をサーバー側で導出するか、ゲストが触れない鍵で署名する方式へ改めるなど、自社の設計を見直しました。
今回の修正は、チェックサムを完成させる前に、計算の開始位置がIPv4ヘッダより後ろにあるかを確かめる処理を5か所に入れたもので、コミット自身が「多層防御」と位置付けています。パケットの入口でのより包括的な検証は、保守担当者と研究者が自ら挙げている次の宿題です。
AIエージェントが生成したコードを隔離して動かす箱は、Vercel Sandboxのように、専用のサービスとして提供されるまでになりました。その箱の壁がどこにあるのかを、見つかった欠陥の側から地図にしていく。公開チャレンジとAIを組み合わせた今回の試みは、その作業の速度を一段引き上げたといえそうです。
【関連記事】
GitHub Copilot CLI、暗号文で秘密情報を外部送信 研究者が実証
AIエージェントが悪意あるページの暗号化された指示に従い、手元の秘密情報を外部へ送る手口を、研究者が実証した事例を伝えた記事。
OpenAI、採点役のAIが作業環境を壊そうとした事例を報告｜発端は入力ファイルの欠落
採点役のAIが入力ファイルの欠落をきっかけに、作業環境を壊してリセットさせようとした事例を、OpenAIの報告から伝えた記事。
【編集部後記】
Vercelの報告には、もうひとつ目を引く数字がありました。2週間に届いた1,285件のうち、877件が重複だったのです。Vercelは、この量は研究者がAIの速度で探すようになったからこそ届いた、と書いています。
見つける側が速くなれば、同じ穴に多くの人がほぼ同時にたどり着きます。今回は最初の報告から本流への統合まで、2か月足らずでした。守る側がこの速度を、次の欠陥でも保てるかどうか。そこが問われる時代に入ったように思います。
【用語解説】
チェックサム
データが壊れていないかを確かめるために、データから計算して添える値。受け取った側が同じ計算をして一致すれば、途中で壊れていないと判断できる。計算を通信機器や後段の処理に任せる仕組みが広く使われている。
IPv4ヘッダ
インターネットで使われるIPv4のパケットの先頭に付く管理情報。宛先や送信元のほか、ヘッダ自身の長さを示す欄を持つ。長さは通常20バイトで、最大60バイトまでの範囲で「IPオプション」を付け足せる。
ハイパーバイザー
1台の物理的なコンピューターの上で、複数の仮想マシンを動かすためのソフトウェア。仮想マシン同士や、仮想マシンとホストのあいだを隔離する役割を担う。
KVM
Kernel-based Virtual Machineの略。Linuxカーネルに組み込まれた仮想化の仕組みで、Linuxをハイパーバイザーとして動かせる。クラウドやVPSの基盤として広く使われている。
CVE
Common Vulnerabilities and Exposuresの略。公開された脆弱性に付ける共通の識別番号で、製品や組織をまたいで同じ脆弱性を指し示すために使われる。
CVSS
Common Vulnerability Scoring Systemの略。脆弱性の深刻度を0〜10の数値で示す共通の評価方法。攻撃元の区分や必要な権限などの指標から計算するため、評価する組織によって値が分かれることがある。
GSO
Generic Segmentation Offloadの略。大きなデータを通信に適した大きさへ分割する処理を、できるだけ後回しにまとめて行うLinuxの仕組み。通信の処理効率を高める。
多層防御
1つの対策が破られても被害を防げるよう、複数の防御を重ねておく考え方。今回の修正も、パケットの入口での検証とは別に、後段で確認を加える多層防御と位置付けられている。
【参考リンク】
pwn.ai（外部）
AIを使った侵入テストを手がけるセキュリティ企業。今回のPwnEscapeを報告し、技術的な解説記事を自社サイトで公開している。
Vercel Sandbox（外部）
Vercelが提供する実行環境。AIエージェントが生成したコードなどを、隔離されたLinuxのmicroVMで動かせる。
Trail of Bits（外部）
米国のセキュリティ研究企業。Vercel Sandboxのソースコードと設計を精査し、同社の仮想化境界を健全と評価した。
The Linux Kernel Archives（外部）
Linuxカーネルの公式配布サイト。今回の修正を取り込んだ5.10から7.2まで、7系列の安定版がここで公開されている。
Firecracker（外部）
AWSが開発した、オープンソースの軽量な仮想マシンモニター。Vercel Sandboxは各環境をこのmicroVMで動かす。
【参考記事】
Findings from the $1M Vercel Sandbox challenge（外部）
Vercel、2026年10月14日。2週間で1,285件の報告、報奨金24万2,000ドル、Critical評価1件という結果を公表。
CVE-2026-99999（外部）
CVEレコード、2026年10月15日公開。影響の始まりを2.6.27とし、7系列の修正版とCVSS 9.3の評価を示している。
ipv4: validate checksum_start before completing checksum（外部）
Linuxカーネルの修正コミット。チェックサムを完成させる前に開始位置を確かめる処理を5か所に加え、多層防御と位置付けている。
PwnEscape (CVE-2026-99999): Patched kernels available in testing（外部）
AlmaLinux、2026年10月16日。8・9・10向けの修正版カーネルを、Red Hatに先行してテスト用リポジトリで公開した。
Linux kernel gets a fix for a flaw that enabled attackers to escape VMs（外部）
CSO Onlineの記事。発見の経緯と、IPv4ヘッダの長さが20バイトから60バイトに書き換わる仕組みを伝えている。
