事件经过
2026 年 9 月 17 日披露的一个 CVSS 9.0-10.0 漏洞集群显示 vm2 的内置模块代理未能适当隔离共享主机单例（https.globalAgent、tls、crypto）与沙箱代码，单独的漏洞允许通过 CLI 工具和 __proto__ 访问进行完全沙箱逃逸。
影响分析
vm2 是在 AI 编码代理和代码执行 MCP 工具内运行不受信任或 LLM 生成的 JavaScript 的常见嵌入式沙箱；凭证泄漏或完全逃逸的沙箱破坏了代理框架依赖的用于安全执行模型生成代码的核心隔离保证。
攻击途径
当 NodeVM 沙箱配置为允许 require('https') 或其他内置模块时，沙箱化（攻击者/LLM 生成的）代码可以通过隔离不足的只读代理到达真实主机进程全局对象（https.globalAgent、tls、crypto 模块），允许沙箱化代码捕获来自主机请求的 Authorization/Cookie/API 密钥头部和明文 TLS 响应，或完全逃逸沙箱到主机代码执行。
受影响系统
vm2 (npm) 版本 3.9.6 至 3.11.7（多个相关 CVE：92940、92939、92941、92942、92949、92950、92951、92954、92955）
缓解措施
根据 GHSA-h85j-hv3c-qfgq 和相关通告升级到 vm2 修补版本；审计任何授予 NodeVM 沙箱网络内置模块访问权限的 AI 代理/代码执行工具；考虑迁移到主动维护的隔离技术（vm2 实际上是上游未维护的）。