Der Blogbeitrag beschreibt konkrete Angriffsvektoren, die trotz funktionierender microVM-Isolation weiterhin offen bleiben: Ein innerhalb der VM ausgeführtes Programm kann über uneingeschränkten ausgehenden Netzwerkverkehr private Daten an externe Server senden, interne Netze scannen oder authentifizierte APIs missbrauchen – ohne die VM-Grenze je zu überschreiten. Vercel hebt dabei hervor, dass Prompt-Injection-Angriffe in Repositories, Log-Dateien oder Abhängigkeiten genau diesen Weg nutzen können. Jüngere Sicherheitsforschung identifiziert mehrere solcher Bypass-Muster: offen gebliebene DNS-Resolver in sonst getrennten Umgebungen, Allowlists die bei fehlendem Eintrag „fail open", sowie Hostnamen, die von Policy-Engine und Proxy unterschiedlich interpretiert werden. Vercel unterscheidet explizit zwischen Domain-basierten und CIDR-basierten Regeln, da beide unterschiedliche Probleme lösen – Domains für moderne Dienste mit wechselnden IP-Adressen, CIDRs für feste Infrastruktur und private Netze. Ein zentrales Designprinzip ist zeitlich begrenzte Konnektivität: Eine Sandbox kann zu Beginn Zugriff auf eine Package-Registry erhalten, den Netzwerkzugang vor der eigentlichen Code-Ausführung einschränken und nach Abschluss vollständig isoliert werden – ohne Neustart des Workloads. Der Firewall-Layer der Vercel Sandbox läuft auf dem Host, außerhalb der microVM, und ist damit für Code im Inneren weder einsehbar noch deaktivierbar.