Vercel erweitert seinen OIDC-Issuer unter `oidc.vercel.com` um einen Token-Exchange-Dienst, der es Deployments erlaubt, OIDC-Tokens mit einem beliebigen, provider-spezifischen `aud`-Claim anzufordern. Bislang wurden Vercel-OIDC-Tokens stets mit einer fixen Audience ausgestellt – dem Pfad `https://vercel.com/{owner}` –, was zwar von den meisten Cloud-Anbietern akzeptiert wird, aber ein Sicherheitsrisiko darstellt: Ein gestohlenes Token wäre prinzipiell gegen jeden Dienst wiederverwendbar, der dieselbe Audience akzeptiert. Der neue Exchange-Endpunkt nimmt ein gültig signiertes Vercel-OIDC-Token entgegen und stellt ein neues Token aus, das mit demselben Schlüssel signiert ist, jedoch einen aktualisierten `aud`-Claim für den gewünschten Downstream-Dienst trägt. Dabei bleiben alle ursprünglichen Claims – Projekt, Umgebung, Owner und Ablaufzeit – erhalten. Zusätzlich wird ein `act`-Claim (Actor) eingefügt, der die ursprüngliche Audience und den Ausstellungszeitpunkt des Ausgangstokens dokumentiert und so eine nachvollziehbare Delegationskette erzeugt. Optional kann ein `jti`-Parameter (JWT ID) übergeben werden, um das ausgetauschte Token für Audit- und Tracing-Zwecke eindeutig zu identifizieren. Der Exchange-Endpunkt sowie der zugehörige Signing-Key sind über alle Vercel-Regionen repliziert, sodass die Latenz unabhängig vom Deployment-Standort gering bleibt.